資產管理

策略及程序

中電於2016年制定AMS標準，目的是統一集團在資產管理方面的主要作業模式，以及確保集團按ISO55000資產管理體系標準及ISO31000風險管理標準，跟隨業界的最佳作業模式。

AMS 標準融入中電的健康、安全及環境（HSE）管理系統和項目管理管治系統（PMGS）標準，以管理資產的整個生命周期。

AMS 中的五個關鍵階段及十大資產管理元素如下圖所示。

中電資產管理系統概覽

監督跟進

中電採用專門設計的集團營運資訊系統（GOIS）來整合營運數據，其內置多項功能，包括數據收集、編製及批准序列、儀表板和報告功能。該系統遵循中電的非財務數據匯報和核證標準，可確保完善的數據治理。在資產、地區和集團層面的相關人員須遵守該標準。

不斷改進

在項目規劃階段的初步工作對確定資產在整個使用期內的營運效率或容量系數至關重要。大規模資產檢修的項目，均須在落實前接受嚴格的技術及財務審查。

中電不斷發掘機會以提升集團資產的營運效率，以符合部分地區對排放及燃料效能日益嚴謹的法規。這些創新及完善，尤其是透過數據分析所帶來的改善機會亦隨之增加。

GRI 參考: 301-1, 302-1, 302-3, 302-4, 302-5, EU11

2021年的燃煤用量較2020年增加5.7%，主要原因是香港青山發電廠及印度哈格爾電廠的發電輸出量增加。與此同時，香港龍鼓灘發電廠對相對地潔淨的燃氣用量增加，導致燃氣消耗量年內上升5.6%。

中電按報告範疇所涵蓋的發電資產，匯報其年度營運表現。所用的表現指標包括可用率、發電輸出量、熱效率及能源強度。

策略及程序

中電保安管理依據中電風險管理框架，並由董事會監督。集團保安政策於2021年更新，以界定盡量減低對人員（包括僱員、承辦商、客戶及公衆）的風險的整體方針，並將其他業務風險控制在可接受水平。

政策涵蓋以下範疇:

• 綜合及集中組織及管治：集團保安為一個綜合部門，涵蓋公司內所有保安相關活動，獨立於資訊科技及營運技術管治運作。
• 政策、標準及指引：一系列的文件，提供有關如何按照認可的行業標準管理及監察風險的指引。
• 了解威脅：在可能的情況下，確保在已獲取適當資訊及情報，並作出與相應保安手段的決策。
• 宣傳及提升意識：不斷提升僱員與承辦商的保安意識及知識，提倡積極的保安行為為目標。
• 技術領域：開發、應用及維護穩健的營運監測及應變工具。
• 聯絡：與國家網絡安全機構及業界組織等外部持份者保持建設性的互信關係，幫助有需要時可迅速有效合作處理問題。

下面的圖表能有助了解中電的保安方針。

該保安方針由五個不同方面但彼此依賴的活動構成。所有活動或多或少在受網絡及實體保安措施的保護。這些活動如下：

• 資訊：數據以書面及電子方式儲存。它的機密性、完整性及可用性必須受保護；
• 營運技術：探測、監測或監控中電資產實體設備（例如渦輪機）的軟件及硬件必須受保護；
• 資訊科技：用以儲存、檢索、傳輸及操控數據或資料的資訊科技必須受保護；
• 僱員：中電僱用的人員，不論是在工作場所還是公務出差，都必須保持安全；及
• 品牌：中電的形象、身份及相關聲譽必須受保護。

中電採取穩健及可擴展的實體保安措施。這些措施配合運作，提供全面、分層及靈活的保護。

中電的保安方針

運作相關事宜責任

中電集團保安部於2020年成立，以確保網絡安全及實體保安的能力和工作互相配合。部門由集團保安部高級總監領導，其亦為網絡安全經驗豐富的領袖。該職位直接向集團營運總裁匯報。部門透過發展全方位保安技能的內部能力，為公司提供全面的保安服務。在內部保安專才和業內外部招聘的協助下，集團的保安職能獨立於資訊科技及健康、安全及環境（HSE）部。

保安部定期向董事會轄下的審核及風險委員會匯報。委員會的主要職責之一是確保適當的風險管理得到貫徹執行，且在需要時採取適當的補救措施。

GRI 參考: 410-1

策略及程序

實體保安指保障員工安全、防止未經授權使用設備、進入設施、取用物料及文件，並保護其免遭保安事故。其涵蓋物理屏障（如圍欄）、保安照明、實體出入管制及監視系統。

公司已進行一系列工作，協助所有地區及資產建立和修訂其保安管理文件。這些文件符合國際保安標準，並包含集團的最佳實務。

• 中電實體保安標準（CLP Physical Security Standard）列明中電擁有及/或營運的所有資產（不論地點或職能）預期應符合實體保安措施的最低標準。
• 中電實體保安指引（CLP Physical Security Guideline）提供有關所有業務單位應符合保安要求的實用指引，並參照集團保安政策及實體保安標準。例如有關如何識別潛在問題、開發適當保安對策，以及準備保安應變計劃的指引。
• 中電保安漏洞評估指引（CLP Security Vulnerability Assessment Guideline）屬於旗艦文件，列明評估任何中電工作場所保安狀況的流程。引用基於風險的方法並與運營者合作，提供涵蓋威脅及漏洞的全面保安檢查，並提供解決方案。

• 中電的項目設計及建設或場地收購的保安盡職審查（CLP’s Security Due Diligence for Project Design & Construction or Site Acquisition）為收購及建設項目提供早期支援。由於較早發現潛在問題可減低風險及糾正成本，無論項目規模大小，均須經過此程序。
• 中電商務旅行風險管理計劃（CLP Business Travel Risk Management Plan）務求可盡量減低僱員商務旅行時面對的保安、醫療及健康風險。保安部代表集團，與人力資源部及財務部合作確保商務旅行安全。

培訓及推廣

中電的保安人員在防止員工及廣大公眾受到傷害方面發揮著關鍵作用。所有內部保安人員須時刻遵守中電的《紀律守則》，並每年接受相關培訓。除了參與有關國家法規和場地特定要求的培訓外，第三方供應商的保安人員還須於入職時接受有關中電的反騷擾政策、最低工資政策指引、反歧視行為等培訓。他們必須完成相關入職培訓，才獲准進入所獲派的場地工作。

為應對新冠病毒疫情，商務旅行連續第二年近乎完全停頓。公司繼續竭盡所能，以確保集團員工緊貼不斷變化的外遊限制情況，及中電發電組合所在國家和其他重要地點的封關情況，並為有需要人士提供量身制定的建議。

策略及程序

網絡保安指保護中電IT及OT系統的需求:

• 營運技術（OT）是探測、監測或監控中電資產實體設備（例如渦輪機）的硬件及軟件。
• 資訊科技（IT）是用以儲存、檢索、傳輸及操控數據或資料的科技。

網絡安全攻擊的特點在於虛擬化環境中發生，並不如資料外洩般造成即時破壞，因此難以識別或追蹤。由於工作場所及營運日漸數碼化，電子設備可能更易受到網絡攻擊。因此，提升中電安全文化並讓業務單位及地區能夠採用適當的技術及流程以保護公司資產及系統至關重要。

為此，中電制訂政策以推動良好安全實務:

• 中電集團資訊安全政策（CLP Group Information Security Policy）列明四大資訊安全原則，即保密性、完整性、可用性及合規性。根據ISO/IEC27002:2013《資訊科技—安全技術—資訊安全管理作業法規》框架，制定一套集團層面的政策，並根據該政策制定了地區標準和程序，以符合地方情況及當地對相應業務單位的法例。
• 中電集團營運技術網絡安全政策（CLP Group Operational Technology Cyber Security Policy）界定如何制定、落實及維持恰當的安全措施，確保中電完成重要基建服務。其中一個重點範疇是檢測及應對營運技術網絡安全事件，及增加營運技術系統的復原能力。

在制定政策及確立系統後，集團保安部轄下獨立的鑒證團隊將協助驗證這些措施是否貫徹遵循，以及相關的網絡安全風險是否得到適當的緩解。該部門的鑒證報告提供了重要的反饋系統，有助公司不斷改進。此外，團隊亦協助項目經理及業務主管了解在中電業務下的網絡安全風險，並就風險緩解策略提供指引。

培訓及推廣

網絡防禦的另一重點是以人為本。集團每一名員工及合作聯營者均是網絡防禦的重要資產，因此需要掌握相關知識並時刻警惕。

中電深明不斷作出改善並提升保安措施的迫切需要，以保障業務免受一系列複雜而變化多端的威脅影響。中電需要深入認知網絡駭客能力及意圖，建立對形勢的了解，並提供指引及作出措施以降低相關風險。中電致力提升員工的網絡安全意識，加強培訓及教育，幫助員工實踐良好的“網絡衛生”。

年內，集團進一步發展網絡情報及網絡安全意識能力。更深入認識威脅者及他們的技術，例如，確保企業可選擇修補程式軟件的優次，或及時有效地引入其他緩解措施。中電在員工層面開展安全意識活動，當中包括模擬網絡釣魚郵件、內部宣傳活動、簡報會、影片及受歡迎的網絡遊戲比賽。

監察及跟進

中電持續監察其資訊科技系統及網絡，並查找針對營運技術系統的威脅。網絡安全技術的改進有助提升對網絡安全的檢測。如果在資訊科技或營運技術網絡環境中識別出任何可疑活動，中電會立即調查，必要時將威脅隔離並復原正常運作。

2021年間，中電採用統一的風險評估矩陣，以妥善衡量及深入比較各業務單位的網絡風險。

公司已徹底檢視及識別需改善的領域。一項評估中電網絡安全意識的研究指出深度網絡情報專業知識的重要性。另一項研究則聚焦回應事故可改善的地方。上述研究均指出中電需要持續改進，而公司已開始採納這些建議，並將在來年繼續落實。

另一個需要注意的地方是技術提升。透過與各地區與負責資訊科技及營運技術的同事合作，漏洞掃描工具及營運技術主動應變能力均得到提升。經過微調及隨著操作員的經驗增加，假警報的出現次數減少。此外，為協助不同職能部門運用雲端服務，公司制訂了服務清單及技術指引，協助員工選擇合適的供應商，避免損害網絡服務的完整性。

鑑於網絡安全威脅難以徹底消除，中電必須時刻保持警惕。由於電力系統屬於重要基建，各司法管轄區亦頒布有關重要基建更嚴謹的網絡安全法例。其中，中國內地於2021年9月起生效的《中華人民共和國數據安全法》（「DSL」）值得注意。它設立基於數據對國家安全潛在影響進行分類、分級、收集及儲存的框架，並依照分級對儲存及傳輸作出規管。有關如何實施DSL的法例正在擬訂。澳洲政府亦制訂《2021年澳洲安全法修訂案（重要基建）》。有關業務單位已檢視其資訊系統及業務實務，以決定是否需要採取合規行動。

網絡安全仍是中電最高級別的風險之一，在風險管理流程中定期得到評估並向高級管理層匯報。儘管未來預見會出現更多規管環境變化，同時網絡安全技能人才亦較稀缺及招聘競爭激烈，中電仍將繼續提升其程序、人才及技術能力，取得引領此領域所需的專業技能。

策略及程序

中電設有穩健且接受定期測試的緊急應變及危機管理程序。該程序能確保中電作周全準備，隨時有效地應對任何緊急情況並恢復運作，並有助於最大限度地減少對客戶的干擾。作為第一道防線，當事件發生時，中電將遵循集團危機管理計劃中的事故管理流程，如下圖所示。

中電事故管理流程

危機管理計劃

集團危機管理計劃乃為應對可能導致業務中斷的緊急情況及危機而制定。中電不斷審視並提升計劃，以確保符合業務變化或涵蓋範圍更廣的經營環境。計劃提供一個平台，用於在中電集團層面有效處理危機。該計劃：

• 概述危機管理的組織、角色、責任、程序及流程；
• 指明所需工具，以確保中電悉心規劃、妥善執行和緊密配合，共同應對集團層面的危機；
• 描述處理區域及集團層級危機之間的關係及互動性；及
• 詳細說明在緊急和危機情況下的內外傳訊交流，以確保負責處理危機的人員獲得必要資訊來履行職責，並通知主要持份者。

集團危機管理計劃在地區層面得到地區危機管理計劃的支持，地區計劃反映集團計劃的內容，並因應各地區的情況而設計。此外，針對每項資產制定詳盡的緊急應變計劃。這些計劃旨在供第一線應急人員和資產管理人員使用。

中電危機管理及緊急應變架構如下圖所示。

培訓及推廣

根據集團及地區計劃規定，集團各電廠至少每年進行一次緊急應變演習，並經常進行小型演習。集團及各地區至少每三年檢討危機管理計劃一次。地區危機管理演習每年進行一次，作為內部同行評審程序的一部分。

中電危機管理及緊急應變架構

危機管理

在危機管理方面，公司的重點是保持及提升能力。年內的舉措包括：

• 中電的危機溝通告示板採納雲端技術，以便進行事故管理；
• 檢視及改善通知及溝通工具；及
• 在集團層面，進行危機管理溝通及行政演習，以確保設備及程序可正常運作，以及操作人員完全理解操作方法。