银行业金融机构外部审计监管指引

第一篇：银行业金融机构外部审计监管指引

银行业金融机构外部审计监管指引

银监发〔2010〕73号

银监会2010.8.11

第一章 总则

第一条 为充分发挥外部审计对银行业监管的补充作用，促进银行业金融机构稳健经营，根据《中华人民共和国银行业监督管理法》等法律法规，制定本指引。

第二条 本指引所称银行业金融机构是指依法在中国境内设立的各类银行业金融机构法人，以及外国银行业金融机构在中国境内设立的分支机构。

本指引所称外部审计是指外部审计机构对银行业金融机构的年度财务报告审计；外部审计机构是指接受银行业金融机构委托对其进行外部审计的会计师事务所，以下简称外审机构。

本指引所称银行业监管机构，是指中国银监会及其派出机构。

第三条 银行业金融机构应当建立健全委托外审机构的相关规章制度。

银行业金融机构董事会对外部审计负最终责任。

第二章 审计委托

第四条 银行业金融机构应当委托具有独立性、专业胜任能力和声誉良好的外审机构从事审计业务。对合格外审机构的评估包括但不限于以下因素：

（一）在形式和实质上均保持独立性；

（二）具有与委托银行业金融机构资产规模、业务复杂程度等相匹配的规模、资源和风险承受能力；

（三）拥有足够数量的具有银行业金融机构审计经验的注册会计师，具备审计银行业金融机构的专业胜任能力；

（四）熟悉金融法规、银行业金融机构业务及流程、内部控制制度以及各种风险管理政策；

（五）具有完善的内部管理制度和健全的质量控制体系；

（六）具有良好的职业声誉，无重大不良记录。

第五条 银行业金融机构应当完整保存委托外部审计机构过程中的档案，银行业监管机构可以对上述档案进行检查。

第六条 外审机构存在下列情况之一的，银行业金融机构不宜委托其从事外部审计业务：

（一）专业胜任能力、从事银行业金融机构审计的经验、风险承受能力明显不足的；

（二）存在欺诈和舞弊行为，在执业经历中受过行政处罚、刑事处罚且未满三年的；

（三）与被审计机构存在关联关系，可能影响审计独立性的。

第三章 审计质量控制

第七条 银行业金融机构应当了解外部审计程序及质量控制体系，配合外审机构开展审计工作，为外审机构实施适当的审计程序提供便利。

第八条 银行业金融机构应当与外审机构充分沟通，了解审计进展情况，及时将审计过程中出现的重大事项报告银行业监管机构。

第九条 银行业金融机构应当对外审机构的审计报告质量及审计业务约定书的履行情况进行评估。

第十条 银行业监管机构可以对外审机构的审计报告质量进行评估，并对存在重大疑问的事项要求银行业金融机构委托其他外审机构进行专项审计。

第十一条 外审机构同一签字注册会计师对同一家银行业金融机构进行外部审计的服务年限不得超过五年；超过五年的，银行业金融机构应当要求外审机构更换签字注册会计师。

第十二条 银行业金融机构不宜委托负责其外部审计的外审机构提供咨询服务。

第四章 终止审计委托

第十三条 银行业金融机构发现外审机构存在下列情形之一的，应予以特别关注，并可以终止委托其审计工作：

（一）未履行诚信、勤勉、保密义务，并造成严重不良后果的；

（二）将所承担的审计业务分包或转包给其他机构的；

（三）审计人员和时间安排难以保障银行业金融机构按期披露年度报告的；

（四）审计报告被证实存在严重质量问题的。

第十四条 银行业监管机构发现外审机构存在下列问题时，可以要求银行业金融机构立即评估委托该外审机构的适当性：

（一）审计结果严重失实的；

（二）存在严重舞弊行为的；

（三）严重违背中国注册会计师审计准则，存在应发现而未发现的重大问题的。

对因上述原因被终止委托的外审机构，银行业金融机构二年内不得委托其从事审计业务。

第十五条 银行业金融机构或外审机构单方要求终止审计委托时，银行业金融机构应当及时报告银行业监管机构。

第五章 与外审机构的沟通

第十六条 银行业监管机构、银行业金融机构、外审机构应当适时举行双方或三方会谈，及时交流有关信息。

第十七条 外审机构根据审计准则向银行业监管机构报告银行业金融机构以下情况的，银行业金融机构不得阻挠：

（一）严重违反法律法规、行业规范或章程；

（二）影响持续经营的事项或情况；

（三）出具非标准审计报告；

（四）管理层有重大舞弊行为；

（五）决策机构内部发生严重冲突或关键职能部门负责人突然离职。

第十八条 银行业监管机构应当鼓励外审机构依法根据审计准则开展外部审计，并纠正银行业金融机构对外部审计质量存在严重负面影响的行为。

第六章 审计结果的利用

第十九条 银行业金融机构应当在收到外审机构出具的审计报告和管理建议书后及时将副本报送银行业监管机构。

第二十条 银行业监管机构应当建立银行业金融机构外部审计结果、整改建

议等审计信息系统，充分利用外部审计相关信息。

第二十一条 银行业金融机构应当重视并积极整改外部审计发现的问题，并将整改结果报送银行业监管机构。

第七章 附则

第二十二条 本指引由中国银监会负责解释。

第二十三条 本指引自公布之日起施行。

第二篇：浅析《银行业金融机构内部审计指引》

浅析《银行业金融机构内部审计指引》

来源：考试大 【爱学习，爱考试大】 2008年1月17日

为促进银行业金融机构完善公司治理，加强内部控制，健全内部审计体系，依据《公司法》、《审计法》和《银行监督管理法》等法律法规，中国银监会制定出台了《银行业金融机构内部审计指引》（以下简称《指引》），对进一步加强和发挥内部审计在银行业金融机构中的作用提出了监管要求。

一、《指引》是银行监管部门针对我国银行业金融机构内部审计的现状而出台的指导意见

随着我国金融改革的稳步推进，银行业金融机构的公司治理逐步完善，风险管理意识不断增强，内部审计也越来越受到银行董事会、经营管理层以及银行监管部门的重视，内部审计的地位有所提升，作用有所增强。但是，与国际银行业的先进做法以及国际内部审计师协会（IIA）关于内部审计的要求相比，与完善的银行业公司治理标准相比，我国银行业金融机构的内部审计在审计理念、组织体系、人员素质、审计效果等方面仍存在一定的差距，主要表现为：

（一）审计理念仍显落后

从国际上看，随着内部审计理论和审计技术不断发展完善，内部审计关注的重点已经从查错纠弊转为更加关注组织的公司治理、内部控制和风险管理的有效性，致力于为组织增加价值，推动组织实现其发展目标。从我国银行业金融机构内部审计的实践看，目前内部审计的重心仍是合规性审计，尤其是对财务活动的监督检查，对公司治理、内部控制和风险管理尚无过多涉及。与国际先进做法相比，我国银行业金融机构内部审计多局限于传统的审计业务，显示出在审计理念方面的落后。

（二）组织体系尚不合理，报告路线不够合理，独立性、权威性尤为不足

根据国际内部审计师协会《内部审计实务标准》的建议，内部审计在组织上应该保持足够的独立性，董事会和高级管理层应该给予内部审计足够的权力，理想情况下，首席审计执行官（CEA）在职能上对董事会报告工作，在行政上向经营管理层的主要负责人（即首席执行官CEO）报告工作。从我国银行业金融机构的实际情况看，在报告路线方面，即便是已经设立规范“三会”的银行，内部审计也大多是作为银行经营管理体系的一部分，对经营管理层负责；从内部审计的体系看，目前大多数银行尚未建立起垂直、独立的内部审计体系，内部审计只是作为内部稽核的重要力量向各级行长或分管副行长报告工作，对行长和分管副行长负责，内部审计在审计目标、审计计划、具体审计活动以及审计后的监督等方面都缺乏独立性和权威性。

（三）内部审计的人力资源有待加强

随着内部审计在公司治理、内部控制和风险管理方面作用的不断加强，对内部审计人员的素质提出了更高的要求。根据国际内部审计师协会对内部审计的定义，内部审计活动已不仅仅是传统的稽核确认，还包括为增加价值和改善组织运营而提供的咨询等各类服务。就银行业金融机构而言，随着金融创新的不断深化、风险类型的日益复杂化，内部审计人员需要具备足够的专业技能跟踪、把握最近的业务知识，从而提供积极有效的确认和咨询等增值服务。从我国银行业金融机构的实际情况看，内部审计人员的素质普遍不高，有些机构由于对内部审计的重视不够，存在着内部审计人员配备不足，甚至存在“老弱病”现象。

（四）审计效果不甚理想

由于我国银行业金融机构内部审计在审计理念、组织体系、人力资源等方面的问题，审计效果不尽理想。以最近中行黑龙江分行发生的案件为例，在银行业开展了一年多的案件专项治理，尤其是中行黑龙江分行已经发生过高山案的情况下，在经历了多次内部自查的情况下，仍未能及时发现案件，充分说明了目前我国银行业金融机构的内部审计效果仍有待改进。

二、《指引》借鉴了国际上关于内部审计的先进理念，对银行业金融机构的内部审计予以了规范

根据国际内部审计师协会关于内部审计的定义，内部审计是“一种独立、客观的确认和咨询活动，旨在增加价值和改善组织运营。它通过应用系统的、规范的方法，评价并改善风险管理、控制和治理过程的效果，帮助组织实现其目标”。巴塞尔委员会和国际银行业对国际内部审计师协会关于内部审计的定义表示认可。在借鉴国际内部审计先进理念的基础上，银行监管部门此次出台的《指引》体现了以下几方面的进步：

（一）明确了内部审计的定义和目标

《指引》在第三条和第四条指出，内部审计是一种独立、客观的监督、评价和咨询活动，是银行业金融机构内部控制的重要组成部分。内部审计部门通过系统化和规范化的方法，审查评价并改善银行业金融机构经营活动、风险状况、内部控制和公司治理效果，保证国家有关经济金融法律法规、方针政策、监管规章的贯彻执行，在银行业金融机构风险框架内促使风险控制在可接受水平，并改善银行业金融机构的运营，增加价值，从而促进银行业金融机构稳健发展。可以看出，《指引》上述规定是银行监管部门在借鉴国际内部审计先进理念的基础上，对我国银行业金融机构内部审计的科学界定，是国际内部审计师协会关于内部审计定义和目标在中国银行业金融机构的具体化。

（二）强调了内部审计的独立性

《指引》开篇即提出了原则性要求，“内部审计是一种独立、客观的监督、评价和咨询活动”，“应当独立于经营管理，以风险为导向，确保客观公正”。为从制度和体制上保证内部审计独立性，《指引》从内部审计体系、从业人员和报告路线等方面作了详细规定。《指引》第九条指出，“银行业金融机构应建立独立垂直的内部审计体系。审计预算、人员薪酬、主要负责人任免由董事会或其专门委员会决定。内部审计人员薪酬不低于本机构其他部门同职级人员平均水平”。相比以往关于内部审计独立性方面的原则性意见，《指引》的规定更为具体，更具有操作性，切实为内部审计的独立性提供了保障。此外，《指引》还特意强调，“内部审计部门可就风险管理、内部控制等有关问题提供咨询服务，但不应直接参与或负责内部控制设计和经营管理决策与执行”，保证内部审计部门在提供咨询服务的同时，不影响其自身的独立性。

（三）规定了内部审计的权限

在权限方面，《指引》规定了内部审计主要事项，要求“银行业金融机构应当以制度形式明确赋予内部审计部门履行职责所必需的权限”，规定内部审计部门“有权列席或参加与内部审计部门职责有关的会议”，“有权及时、全面了解经营管理信息，并就有关问题向审计对象和相关人员进行调查、质询、取证”，并赋予必要时直接向董事会直接汇报审计发现的权力、必要的处理建议权和处罚权等。

（四）规范了内部审计各主体的责任

《指引》指出，董事会负责建立和维护健全有效的内部审计体系，董事会要对内部审计的适当性和有效性承担最终责任，负责批准内部审计章程、中长期审计规划和工作计划等，为独立、客观开展内部审计工作提供必要保障，并对审计工作情况进行考核监督。董事会下设的审计委员会对董事会负责，根据董事会的授权组织指导内部审计工作，并应定期召开会议，按季向董事会报告审计工作情况，同时通报高级管理层和监事会。内部审计部门对董事会和审计委员会负责，制定内部审计程序，评价风险状况和管理情况，落实审计工作计划，开展后续审计，监督整改情况，对审计项目质量负责等。首席审计官（CEA）负责组织实施内部审计章程、中长期审计规划和工作计划，做好协调工作，及时向董事会和高级管理层主要负责人报告审计工作情况，并对内部审计的整体质量负责。

（五）确定了内部审计与外部监管的报告与指导关系

《指引》表明内部审计作为公司治理的重要组成部分，属于银行监管部门“管法人”的重要工作内容。《指引》从监管者的角度，提出了银行业金融机构内部审计与外部监管的关系，明确要求“银行业金融机构应建立完善的与中国银监会的沟通和报告制度”，并规定了内部审计部门应向中国银监会及其派出机构报告的事项，确定了银行监管部门对相应的银行业金融机构内部审计的指导职能。

此外，《指引》还就内部审计的质量控制问题、内部审计部门工作人员的比例、从业人员的专业水平和道德准则的要求等问题予以了规范。

三、以贯彻实施《指引》为契机，加强和发挥银行业金融机构内部审计的作用

《指引》借鉴了国际上内部审计的先进理念，针对我国银行业金融机构内部审计的现状提出了切合实际的监管要求。各银行业金融机构应以贯彻实施《指引》为契机，充分发挥内部审计在公司治理、内部控制和风险管理等方面的积极作用。

１、银行业金融机构要根据《指引》的精神，结合本单位实际，制定出实施细则，并根据要求报银行监管部门备案。借鉴与吸收并重，转变传统上关于内部审计的观念，通过应用系统的、规范的方法，评价并改善风险管理、内部控制和公司治理过程的效果，增加价值和改善运营，帮助所属的银行业金融机构实现其目标。要建立和完善独立客观的内部审计系统，提高内部审计的手段，加强科技信息技术在审计工作中的应用，建立完善的非现场内部审计监测体系及内部审计操作体系、信息管理系统。严格内部审计质量控制，努力提高内部审计工作水平。

２、要切实加强内部审计人员的培养，建立内部审计从业人员任职资格，通过CIA等资格考试、聘请专家培训等方面，提升内部审计人员的专业素养。加强与中国内部审计协会的联系，考虑建立银行业金融机构内部审计协会，制定银行业金融机构内部审计的整体规划，加强各金融机构之间的交流与合作，提高整个银行业金融机构的内部审计水平。

３、完善和改进内部审计和外部监督的关系。按照巴塞尔委员会《银行内部审计及监管者与审计师的关系》的表述，除了内部审计要及时、准确、完整地向银行监管部门报告外，银行监管部门也应当对银行业金融机构内部审计的工作进行评价，并根据评价结果来确定是否采纳以及在多大程度上采纳内部审计的结果。在银行监管相对成熟的国家和地区，银行监管部门通常与内部审计保持较为紧密的联系，二者会定期进行磋商，比如，香港金管局定期举行包括银行内部审计和外部审计在内的三方会议，借助内部审计的成果实施风险为本的银行监管，大大地提高了银行监管的效率。《指引》的出台，标志着我国银行监管部门更加重视内部审计的工作，对内部审计的指导和监督力度也将加强。今后，银行监管部门与银行内部审计应逐步探索、创新和完善双方的关系，充分发挥外部监管与内部监督的双重作用，促进我国银行业的健康发展。来

第三篇：银行业金融机构绩效考评监管指引

银行业金融机构绩效考评监管指引

第一章

总则

第一条 为促进银行业金融机构建立有效的激励约束机制，转变发展方式，实现审慎经营，根据 《 中华人民共和国银行业监督管理法 》 等法律法规，制定本指引。

第二条 本指引所称银行业金融机构，是指在中华人民共和国境内依法设立的商业银行、农村信用社等吸收公众存款的金融机构。在中华人民共和国境内依法设立的金融资产管理公司、信托公司、财务公司、金融租赁公司、城市信用社以及经银监会批准设立的其他金融机构，适用本指引。政策性银行和实施条线管理的商业银行参照本指引执行。第三条 本指引所称绩效考评，是指银行业金融机构为落实监管要求和实现自身发展战略，通过建立考评指标、设定考评标准，对考评对象在特定期间的经营成果、风险状况及内控管理进行综合评价，并根据考评结果改进经营管理的过程。第四条 银行业金融机构绩效考评应当坚持以下原则：

（一）稳健经营。银行业金融机构应当树立稳健绩效观，确定稳健的发展战略和经营计划，制定稳健的绩效考评目标和具体指标。

（二）合规引领。绩效考评应当体现监管要求，促进银行业金融机构合规经营和有序竞争，培养合规文化，维护良好市场秩序。

（三）战略导向。绩效考评应当以发展战略为导向，以经营计划为目标，通过科学合理的绩效考评，坚持既定市场定位，执行既定发展战略，实现差异化发展、内涵式发展、均衡性发展，提高服务实体经济的能力。

（四）综合平衡。银行业金融机构应当统筹业务发展与风险防控，建立兼顾效益与风险、财务因素与非财务因素、当期成果与可持续发展的绩效考评指标体系，全面客观地实施绩效考评。

（五）统一执行。银行业金融机构应当建立有效的考评管理机制，注重绩效考评的过程和质量管理，强化绩效考评执行力和约束力，确保经营管理要求逐级传导的一致性。

第二章

考评指标

第五条 银行业金融机构绩效考评指标包括五大类：合规经营类指标、风险管理类指标、经营效益类指标、发展转型类指标、社会责任类指标。

第六条 合规经营类指标用于评价银行业金融机构遵守相关法律法规和规章制度、内部控制建设及执行的情况，包括合规执行、内控评价、违规处罚等方面。合规经营类指标中的内控评价，应当与银行业金融机构自身或外部审计的评价结果相一致。银行业金融机构应当区分内部自查、外部检查以及违规程度，确定合规经营类指标中违规处罚的具体分值和权重。对于外部检查发现并实施监管措施或行政处罚的，应当调低绩效考评等级。

第七条 风险管理类指标用于评价银行业金融机构风险状况及变动趋势，包括信用风险指标、操作风险指标、流动性风险指标、市场风险指标、声誉风险指标等。在计算风险管理类指标时，银行业金融机构应当充分考虑考评对象风险分类、识别和计量的准确性。对于发生案件的考评对象，应当调低绩效考评等级。

第八条 经营效益类指标用于评价银行业金融机构经营成果、经营效率和价值创造能力，包括利润指标、成本控制指标、风险调整后收益指标等。在经营效益类指标中，银行业金融机构应当以风险调整后收益指标为核心，确定合理的分值和权重。采用资本计量高级方法的银行业金融机构，应当将基于高级方法得出的风险参数作为计算风险调整后收益指标的重要依据。银行业金融机构应当充分考虑资产期限及风险延期暴露等因素，降低中长期资产收益对经营效益类指标的贡献度。

第九条 发展转型类指标用于评价银行业金融机构根据宏观经济政策、结构调整及自身需要，推动业务发展和战略转型的情况，包括业务及客户发展指标、资产负债结构调整指标、收入结构调整指标等。银行业金融机构应当根据考评对象的经营地域、客户结构、市场需求以及服务能力，合理确定发展转型类指标。对于以贷转存、以贷收费和转嫁成本等不规范经营的考评对象，应当调低发展转型类指标的考评得分。第十条 社会责任类指标用于评价银行业金融机构提供金融服务、支持节能减排和环境保护、提高社会公众金融意识的情况，包括服务质量和公平对待消费者、绿色信贷、公众金融教育等。银行业金融机构应当在社会责任报告中，披露社会责任类指标的，慈体情况。第十一条 银行业金融机构应当根据监管要求，结合本行发展战略、风险偏好和市场定位等因素，确定绩效考评的具体指标及其权重。银行业金融机构应当突出合规经营和风险管理的重要性，合规经营类指标和风险管理类指标权重应当明显高于其他类指标。

第十二条 银行业金融机构及其分支机构在设置考评指标、确定考评标准和分解考评指标时，应当符合审慎经营和与自身能力相适应的原则，不得有下列情形：

（一）设立时点性规模考评指标；

（二）在综合绩效考评指标体系外设定单项或临时性考评指标；

（三）设定没有具体目标值、单纯以市场份额或市场排名为要求的考评指标；

（四）分支机构自行制定考评办法或提高考评标准及相关要求。

第十三条 考评对象在细化绩效考评指标时，应当与总行（公司）的绩效考评要求总体保持一致，全面执行总行（公司）的战略目标、经营理念和风险政策。

第十四条 银行业金融机构在计算绩效考评指标时，应当使用符合财务会计制度的相关数据。

第三章

考评机制

第十五条 银行业金融机构应当根据现代金融企业制度和内部管理体制特点，建立科学合理的绩效考评组织架构，完善工作制度，明确职责分工，强化绩效考评的体制机制保障。第十六条 银行业金融机构董事会应当根据国民经济发展状况、市场变化、自身发展战略和风险偏好等因素，审批确定审慎、可行的经营计划。董事会及相关专门委员会应当充分论证经营计划的科学性。

第十七条 银行业金融机构高级管理层应当按照董事会批准的经营计划，制定本行绩效考评制度和指标体系，并对绩效考评负最终责任。绩效考评应当以经营计划为主要依据，设定明确、可行的目标值。

第十八条 银行业金融机构应当指定专门部门，负责绩效考评的制度建设、组织实施和质量控制。

第十九条 下级考评对象应当将绩效考评方案报上级机构批准同意后实施。

第二十条 银行业金融机构应当建立规范的绩效考评管理流程，确保绩效考评指标体系和实施过程公开透明，并与考评对象及其员工进行有效沟通。

第二十一条 银行业金融机构应当建立绩效考评结果定期公布制度，向全体考评对象通报绩效考评结果，促进其改善经营管理。

第二十二条 银行业金融机构应当加强绩效考评结果的应用管理，建立科学合理的绩效考评结果挂钩机制。绩效考评结果的应用至少应当包括以下方面：

（一）评定等级行；

（二）确定管理授权；

（三）分配信贷资源和财务费用；

（四）核定绩效薪酬总额；

（五）评价高级管理人员和确定其绩效薪酬。商业银行在核定考评对象的绩效薪酬总额和确定高级管理人员的绩效薪酬时，应当符合《商业银行稳健薪酬监管指引》相关规定。

第二十三条 银行业金融机构应当提高财务信息质量，加强会计体系管理和信息科技平台建设，不断提高绩效考评的准确性和及时性。

第二十四条 银行业金融机构应当培育公开透明、审慎稳健的绩效考评文化，充分发挥绩效考评对经营管理和业务发展的引领作用。

第二十五条 银行业金融机构应当加强绩效考评的管理与监督，指导考评对象依法合规做好考评工作，及时纠正各种违规问题。银行业金融机构审计和监察部门应当对绩效考评实施情况进行检查，对将业务费用变相作为绩效奖励、弄虚作假、违规操作等问题严肃问责。

第四章

监督管理 第二十六条 银监会负责对银行业金融机构绩效考评工作进行监管管理。

第二十七条 银行业金融机构应当于年初将董事会批准的经营计划和高级管理层制定的绩效考评制度报送银监会或其派出机构。各级考评对象应当于年初将上级机构考评要求和本级机构对下考评要求，报送银监会派出机构。银行业金融机构在期间对绩效考评进行调整的，应当将调整情况及时报送银监会或其派出机构。

第二十八条 银行业金融机构年终绩效考评工作完成后，银行业金融机构和各级考评对象应当于 10 日内将考评结果报送银监会或其派出机构。

第二十九条 银监会对银行业金融机构绩效考评进行监督管理。重点关注以下事项：

（一）经营计划的审慎性；

（二）绩效考评目标与经营计划的吻合性；

（三）绩效考评指标设置与上级机构考评要求的一致性；

（四）业务归属和会计核算的准确性；

（五）财务数据和管理信息的规范性。

第三十条 银行业金融机构绩效考评实施情况纳入监管评价，并与监管激励措施挂钩：

（一）与考评对象设立机构挂钩；

（二）与考评对象开办新业务挂钩；

（三）与考评对象高级管理人员任职资格核准挂钩。

第三十一条 对绩效考评制度建设不合规、考评指标体系不科学、考评结果应用不全面的银行业金融机构及其考评对象，应当加大现场检查力度。

第三十二条 银行业金融机构及其考评对象绩效考评工作不符合本指引要求的，根据 《 中华人民共和国银行业监督管理法 》 的相关规定责令限期整改，整改不到位的，依法实施监管措施或行政处罚。

第五章

附则

第三十三条 银行业金融机构对职能部门的绩效考评参照本指引执行。银行业金融机构对风险管理、内控合规、内部审计等部门的绩效考评，应当有利于其独立、全面地履行职能。第三十四条 银行业金融机构设在境外的分支及全资附属的银行机构，由总行（公司）根据本指引的原则和要求，结合所在国家和地区的法律规定、监管要求实施绩效考评。

第三十五条 按照并表管理原则，银行业金融机构对全资或控股的非银行金融机构的考评参照本指引执行。

第三十六条 本指引由银监会负责解释。第三十七条 本指引自印发之日起施行。

第四篇：银监发[2010]73号关于印发《银行业金融机构外部审计监管指引》的通知

关于印发《银行业金融机构外部审计监管指引》的通知

银监发[2010]73号中国银行业监督管理委员会2010-8-1

1各银监局，各政策性银行、国有商业银行、股份制商业银行、金融资产管理公司，邮政储蓄银行，各省级农村信用联社，银监会直接监管的信托公司、企业集团财务公司、金融租赁公司：

现将《银行业金融机构外部审计监管指引》印发给你们，请遵照执行。请各银监局将本通知转发至辖内各银鉴分局和银行业金融机构。

中国银行业监督管理委员会

二0一0年八月十一日

银行业金融机构外部审计监管指引

第一章 总则

第一条 为充分发挥外部审计对银行业监管的补充作用，促进银行业金融机构稳健经营，根据《中华人民共和国银行业监督管理法》等法律法规，制定本指引。

第二条 本指引所称银行业金融机构是指依法在中国境内设立的各类银行业金融机构法人，以及外国银行业金融机构在中国境内设立的分支机构。本指引所称外部审计是指外部审计机构对银行业金融机构的财务报告审计；外部审计机构是指接受银行业金融机构委托对其进行外部审计的会计师事务所，以下简称外审机构。本指引所称银行业监管机构，是指中国银监会及其派出机构。

第三条 银行业金融机构应当建立健全委托外审机构的相关规章制度。银行业金融机构董事会对外部审计负最终责任。

第二章 审计委托

第四条 银行业金融机构应当委托具有独立性、专业胜任能力和声誉良好的外审机构从事审计业务。对合格外审机构的评估包括但不限于以下因素：

(一)在形式和实质上均保持独立性；

(二)具有与委托银行业金融机构资产规模、业务复杂程度等相匹配的规模、资源和风险承受能力；

(三)拥有足够数量的具有银行业金融机构审计经验的注册会计师，具备审计银行业金融机构的专业胜任能力；

(四)熟悉金融法规、银行业金融机构业务及流程、内部控制制度以及各种风险管理政策；

(五)具有完善的内部管理制度和健全的质量控制体系；(六)具有良好的职业声誉，无重大不良记录。

第五条 银行业金融机构应当完整保存委托外部审计机构过程中的档案，银行业监管机构可以对上述档案进行检查。第六条外审机构存在下列情况之一的，银行业金融机构不宜委托其从事外部审计业务：

(一)专业胜任能力、从事银行业金融机构审计的经验、风险承受能力明显不足的；

(二)存在欺诈和舞弊行为，在执业经历中受过行政处罚、刑事处罚且未满三年的；

(三)与被审计机构存在关联关系，可能影响审计独立性的。

第三章 审计质量控制

第七条 银行业金融机构应当了解外部审计程序及质量控制体系，配合外审机构开展审计工作，为外审机构实施适当的审计程序提供便利。

第八条 银行业金融机构应当与外审机构充分沟通，了解审计进展情况，及时将审计过程中出现的重大事项报告银行业监管机构。

第九条 银行业金融机构应当对外审机构的审计报告质量及审计业务约定书的履行情况进行评估。

第十条 银行业监管机构可以对外审机构的审计报告质量进行评估，并对存在重大疑问的事项要求银行业金融机构委托其他外审机构进行专项审计。

第十一条 外审机构同一签字注册会计师对同一家银行业金融机构进行外

部审计的服务年限不得超过五年；超过五年的，银行业金融机构应当要求外审机构更换签字注册会计师。

第十二条 银行业金融机构不宜委托负责其外部审计的外审机构提供咨询服务。

第四章 终止审计委托

第十三条 银行业金融机构发现外审机构存在下列情形之一的，应予以特别关注，并可以终止委托其审计工作：

(一)未履行诚信、勤勉、保密义务，并造成严重不良后果的；

(二)将所承担的审计业务分包或转包给其他机构的；

(三)审计人员和时间安排难以保障银行业金融机构按期披露报告的；

(四)审计报告被证实存在严重质量问题的。

第十四条 银行业监管机构发现外审机构存在下列问题时，可以要求银行业金融机构立即评估委托该外审机构的适当性：

(一)审计结果严重失实的；

(二)存在严重舞弊行为的；

(三)严重违背中国注册会计师审计准则，存在应发现而未发现的重大问题的。

对因上述原因被终止委托的外审机构，银行业金融机构二年内不得委托其从事审计业务。

第十五条 银行业金融机构或外审机构单方要求终止审计委托时，银行业金融机构应当及时报告银行业监管机构。

第五章 与外审机构的沟通

第十六条 银行业监管机构、银行业金融机构、外审机构应当适时举行双方或三方会谈，及时交流有关信息。

第十七条 外审机构根据审计准则向银行业监管机构报告银行业金融机构以下情况的，银行业金融机构不得阻挠：

(一)严重违反法律法规、行业规范或章程；

(二)影响持续经营的事项或情况；

(三)出具非标准审计报告；

(四)管理层有重大舞弊行为；

(五)决策机构内部发生严重冲突或关键职能部门负责人突然离职。

第十八条 银行业监管机构应当鼓励外审机构依法根据审计准则开展外部审计，并纠正银行业金融机构对外部审计质量存在严重负面影响的行为。

第六章 审计结果的利用

第十九条 银行业金融机构应当在收到外审机构出具的审计报告和管理建议书后及时将副本报送银行业监管机构。

第二十条 银行业监管机构应当建立银行业金融机构外部审计结果、整改建议等审计信息系统，充分利用外部审计相关信息。

第二十一条 银行业金融机构应当重视并积极整改外部审计发现的问题，并将整改结果报送银行业监管机构。

第七章 附则

第二十二条 本指引由中国银监会负责解释。

第二十三条 本指引自公布之日起施行。

答问银行业金融机构外部审计监管指引

近日，银监会有关负责人就《银行业金融机构外部审计监管指引》（银监发

[2010]73号）回答了记者提问。

问：《银行业金融机构外部审计监管指引》（以下简称指引）出台的背景和目的是什么？

答：外部审计是维护市场纪律、实现银行有效管理的重要手段，对银行监管具有重要的补充作用。国际上，许多国家银行监管当局都很重视外部审计的作用和相应的管理和指导工作，如英国金融机构在委托会计师事务所前，必须通知英国金融监管当局（FSA），报送该会计师事务所的相关资料，并保证会计师事务所具备法定执业资格、审计能力、独立性等条件。

银监会在日常监管工作中发现，部分银行业金融机构委托的外部审计机构缺乏必要的专业能力和经历，审计质量较低，并造成了一些负面影响。因此，银监会在现行法律法规的框架下，借鉴国内外的部分有效做法，对银行业金融机构年报的审计委托、质量控制等重要环节提出了适度规范的要求，以促进提高外部审计质量，发挥外部审计对银行监管的补充作用。

问：制定《指引》的主要原则是什么？

答：一是促进提高审计质量。《指引》从银行业的特点出发，通过规范银行业金融机构外部审计的有关工作，旨在加强银行监管机构与外审机构的沟通，促进外部审计机构改善执业质量，不断提高银行业金融机构外部审计的有效性。二是着力解决基本问题。《指引》对银行业金融机构委托外部审计机构的专业胜任能力、审计质量控制、终止审计委托、信息沟通、审计结果利用等重要环节进行了规范，着力解决基本问题。三是遵守相关法律框架。目前，财政部负责会计师事务所及外部审计的行政管理工作。按照《行政许可法》和《注册会计师法》的规定，《指引》没有对会计师事务所从事银行业金融机构的审计业务设立门槛，也没有对其规定任何行政管理的事项。

问：《指引》的主要内容有哪些？

答：《指引》共七章二十三条，包括总则、审计委托、审计质量控制、终止审计委托、与外审机构的沟通、审计结果的利用、附则。主要内容如下：

一是对银行业金融机构的审计委托提出要求。《指引》要求银行业金融机构须对拟委托会计师事务所的独立性、专业胜任能力、声誉等进行评估，引导银行业金融机构委托合格外部审计机构。

二是强化审计质量控制。《指引》要求银行业金融机构及时报告审计过程中出现的重大事项。银行监管机构必要时可要求金融机构另行委托外审机构对有关对减值准备、价值评估等重要事项进行专项审计。同时，对外审机构服务超过五年的签字注册会计师，金融机构应要求其更换，以确保审计质量。

三是加强银行监管机构与外审机构的沟通。《指引》建立了信息交流机制，明确提出监管机构、外审机构以及银行业金融机构应当在外部审计过程中适时举行双方或三方会谈，及时交流有关信息。

四是注重对外部审计结果的利用。《指引》要求，银行业金融机构要重视并积极整改外审机构发现的问题，银行业监管机构也相应建立外部审计结果、整改建议等审计信息系统，充分利用外部审计相关信息。

五是支持外审机构依法开展业务。为提高外部审计质量，《指引》既要求银行业金融机构配合外审机构开展审计工作，为外审机构实施适当的审计程序提供便利；又鼓励和保护外审机构依法根据审计准则开展外部审计，并纠正银行业金融机构对外部审计质量存在严重负面影响的行为。

第五篇：银行业金融机构信息科技外包风险监管指引

中国银行业监督管理委员会

银监发[2013]5号

中国银监会关于印发银行业金融机构信息科技外

包风险监管指引的通知

各银监局，各政策性银行、国有商业银行、股份制商业银行、金融资产管理公司，邮储银行，各省级农村信用联社，银监会直接监管的信托公司、企业集团财务公司、金融租赁公司：

现将《银行业金融机构信息科技外包风险监管指引》印发给你们，请遵照执行。

2013年2月16日

银行业金融机构信息科技外包风险监管指引

第一章 总则

第一条

为规范银行业金融机构的信息科技外包活动，降低信息科技外包风险，根据《中华人民共和国银行业监督管理法》、《中华人民共和国商业银行法》等法律法规，制定本指引。

第二条

在中华人民共和国境内设立的政策性银行、商业银行、农村合作银行、省（自治区）农村信用社联合社适用本指引。银监会监管的其他金融机构参照本指引执行。第三条

本指引所称信息科技外包是指银行业金融机构将原本由自身负责处理的信息科技活动委托给服务提供商进行处理的行为，包含项目外包、人力资源外包等形式。原则上包括以下类型：

（一）研发咨询类外包：科技管理及科技治理等咨询设计外包，规划、需求、系统开发、测试外包；

（二）系统运行维护类外包：包括数据中心（灾备中心）、机房配套设施、网络、系统的运维外包，自助设备、POS机等远程终端及办公设备的运维外包；

（三）业务外包中的信息科技活动：市场拓展、业务操作、企业管理、资产处臵等外包中的系统开发、运行维护和数据处理活动。

第四条

本指引所称关联外包是指服务提供商为银行业金融机构的母公司或其所属集团子公司、关联公司或附属机构提供信息科技外包。

第五条

信息科技外包可能产生如下风险，并导致银行业金融机构的战略、声誉、合规风险：

（一）科技能力丧失：银行业金融机构过度依赖外部资源导致失去科技控制及创新能力，影响业务创新与发展；

（二）业务中断：支持业务运营的外包服务无法持续提供导致业务中断；

（三）信息泄露：包含客户信息在内的银行业金融机构非公开数据被服务提供商非法获得或泄露；

（四）服务水平下降：由于外包服务质量问题或内外部协作效率低下，使得银行业金融机构信息科技服务水平下降。

第六条

本指引所称机构集中度风险是指银行业金融机构将信息科技外包服务集中交由少量服务提供商承接而产生的风险，该风险可能造成集中性的服务中断、质量下降、安全事件等。

第七条

本指引所称同业托管机构是指作为外包服务提供商为其他同行业金融机构提供信息科技外包服务的银行业金融机构。

第八条

银行业金融机构应当将信息科技外包管理纳入全面风险管理体系，建立与本机构信息科技战略目标相适应的外包管理体系，控制或降低由于外包而引发的风险。

第九条

银行业金融机构应当建立信息科技外包管理组织架构，制定外包管理战略，定期进行外包风险评估，通过服务提供商准入、评价、退出等手段建立及维护符合自身战略目标的供应商关系管理策略。

第十条

银行业金融机构在实施信息科技外包时应当坚持以下原则：

（一）以不妨碍核心能力建设、积极掌握关键技术为导向；

（二）保持外包风险、成本和效益的平衡；

（三）强调外包风险的事前控制，保持管控力度；

（四）根据外包管理及技术发展趋势，持续改进外包策略和措施。

第十一条

银行业金融机构在实施信息科技外包时，不得将信息科技管理责任外包。

第十二条

对于不涉及银行客户及内部信息转移的信息科技产品采购、维保，及通讯线路租用、支付或清算系统接入等信息科技公共基础设施服务，银行业金融机构应当充分评估其信息科技风险，按照本指引第五章要求进行管理。

第二章 外包管理组织架构

第十三条

银行业金融机构董事会及高级管理层应当严格落实信息科技外包风险管理的相关职责, 明确信息科技外包风险管理的主管部门，制定并审批信息科技外包战略，审议信息科技外包管理流程及制度，督促并监控信息科技外包风险管理效果。

第十四条

信息科技外包风险主管部门的主要职责包括：

（一）对外包风险进行识别、评估与风险提示；

（二）监督、评价外包管理工作，并督促外包风险管理的持续改善；

（三）向高级管理层定期汇报信息科技外包活动相关风险管理情况；

（四）董事会或高级管理层确定的其他信息科技外包风险管理职责。

第十五条

银行业金融机构应当在信息科技管理部门或信息科技外包活动执行部门内建立信息科技外包管理执行团队，并配备足够人员履行以下职责：

（一）实施信息科技外包战略；

（二）制定并执行信息科技外包管理制度与流程；

（三）执行供应商准入、评价、退出管理，建立并维护供应商关系管理策略；

（四）制定保障外包服务持续性的应急管理方案，并组织实施定期演练；

（五）对外包过程中的各项管理活动进行监控及分析，定期向信息科技及外包风险管理主管部门报告外包活动情况。

第三章 信息科技外包战略及风险管理

第一节 信息科技外包战略

第十六条

银行业金融机构应当以提升信息科技队伍能力，提高科技管理及创新水平，掌握信息科技核心技能为目标，基于信息科技战略、外包市场环境、自身风险控制能力和风险偏好制定信息科技外包战略，包括：不能外包的职能、资源能力建设方案、供应商关系管理策略和外包分级管理策略。

第十七条

银行业金融机构应当根据自身信息科技战略明确不能外包的职能。涉及战略管理、风险管理、内部审计及其他有关信息科技核心竞争力的职能不得外包。第十八条

银行业金融机构应当根据外包战略制定资源、能力建设方案，通过补充人员、提升技能、知识转移等方式，有针对性地获取或提升管理及技术能力，降低对服务提供商的依赖。

第十九条

银行业金融机构应当建立与自身规模、市场地位相适应的供应商关系管理策略。通过准入和退出机制合理管控各类高风险服务提供商的数量，实现以下目标：防范行业垄断和机构集中度风险，通过引入适当的竞争在降低采购成本的同时提高服务质量，合理管控服务提供商的数量从而降低风险及管理成本等。

第二十条

银行业金融机构可以按照外包服务性质和重要性程度对服务提供商进行分级管理，对不同级别的服务提供商采取差异化的管控措施，在有效管理重要风险的前提下降低管理成本。

第二十一条

银行业金融机构要同母公司或集团公司协同做好外包服务及服务提供商的管理工作，但应当保持关联外包有关决策的独立性，避免因关联关系而降低外包活动的风险控制水平。

第二节 信息科技外包风险管理

第二十二条

银行业金融机构信息科技外包风险管理部门应当至少每年开展一次全面的外包风险管理评估，保持评估的独立性，并向高级管理层提交评估报告。评估内容包括：信息科技外包战略执行情况、外包信息安全、机构集中度、服务连续性、服务质量、政策及市场变化对外包服务的影响分析等。

第二十三条

银行业金融机构应当对重要的外包服务提供商进行定期的风险评估，保持评估的独立性。至少在三年内覆盖所有重要的服务提供商。评估内容包括：服务提供商合规情况、服务的执行效果等，评估结果应当作为服务提供商准入及退出的重要依据。

第二十四条

银行业金融机构内部审计部门应当定期开展信息科技外包风险管理审计工作，至少每三年对重要的外包服务活动进行一次全面审计。发生外包风险事件后应当及时开展专项审计。

第四章 信息科技外包管理

第一节 外包风险评估及准入

第二十五条

外包项目立项前，银行业金融机构应当审慎检查项目与信息科技外包战略的一致性，根据项目内容、范围、性质对其进行风险识别和评估，制定相应的风险处臵措施，不因外包活动的引入而增加整体剩余风险。重大外包项目应向董事会、高管层报告。

第二十六条

银行业金融机构应当根据供应商关系管理策略，结合风险评估结果及服务提供商的准入标准，对备选服务提供商进行初步筛选，防范引入高机构集中度风险特点的服务提供商、或引入增加整体风险的服务提供商。

第二十七条

对于外包服务提供商为同业托管机构的情况，银行业金融机构可参照本节内容对其进行管理。

第二节 服务提供商尽职调查

第二十八条

对重要的服务提供商，银行业金融机构在与其签订合同前应当深入开展尽职调查，必要时可聘请第三方机构协助调查。

第二十九条

银行业金融机构在尽职调查时应当关注服务提供商的技术和行业经验，包括但不限于：服务能力和支持技术、服务经验、服务人员技能、市场评价、监管评价等。

第三十条

银行业金融机构在尽职调查时应当关注服务提供商的内部控制和管理能力，包括但不限于：内部控制机制和管理流程的完善程度、内部控制技术和工具等。

第三十一条

银行业金融机构在尽职调查时应当关注服务提供商的持续经营状况，包括但不限于：从业时间、市场地位及发展趋势、资金的安全性、近期盈利情况等。

第三十二条

对于关联外包，银行业金融机构不得因关联关系而降低对服务提供商的要求，应当在尽职调查阶段详细分析服务提供商技术、内控和管理水平，确认其有足够能力实施外包

服务、处理突发事件等。

第三十三条

对于外包服务提供商为同业托管机构的情况，银行业金融机构可参照本节内容对其进行管理。

第三节 外包服务合同及要求

第三十四条

银行业金融机构在实施外包服务项目前，应当与服务提供商签订服务合同。合同应当根据外包服务需求、风险评估及尽职调查结果确定详细程度和重点。

第三十五条

银行业金融机构在合同或协议中应当明确以下内容，包括但不限于：

（一）服务范围、服务内容、工作时限及安排、责任分配、交付物要求以及后续合作中的相关限定条件；

（二）合规与内控要求，对法律法规及银行业金融机构内部管理制度的遵从要求、监管政策的通报贯彻机制、服务提供商的内控措施；

（三）服务连续性要求，服务提供商的服务连续性管理目标应当满足银行业金融机构业务连续性目标要求；

（四）银行业金融机构监控和检查的权利、频率，服务提供商配合其内、外部审计机构检查，及配合银行业监管机构检查的责任；

（五）政策或环境变化因素等在内的合同变更或终止的触发条件，外包服务提供商在过渡期间应该履行的主要职责及合同变更或终止的过渡安排，包括信息、资料和设施的交接处臵等过渡期间相关服务的安排；

（六）外包服务过程中产生、加工、交互的信息和知识产权的归属权以及允许服务提供商使用的内容及范围，对服务提供商使用合法软、硬件产品的要求；

（七）服务要求或服务水平条款，至少应当包括如下内容：外包服务的关键要素、服务时效和可用性、数据的机密性和完整性要求、变更的控制、安全标准的遵守情况、技术支持水平等；

（八）争端解决机制、违约及赔偿条款，至少包括如下内容：服务质量违约、安全违约、知识产权违约等，及在各种违约情况下的赔偿以及外包争端的解决机制；

（九）报告条款，至少包括常规报告内容和报告频度、突发事件时的报告路线、报告方式及时限要求。

第三十六条 银行业金融机构应当在合同或协议中明确服务提供商在安全和保密方面的责任，以及针对安全及保密要求需采取的具体措施。包括但不限于：

（一）禁止服务提供商在合同允许范围外使用或者披露银行业金融机构的信息，以防止信息被非授权使用；

（二）在合同或协议中约定服务提供商对银行客户信息安全和银行客户权利的保护条款、事故处理方式及违约赔偿条款；

（三）在合同或协议中约定服务提供商不得以所服务的银行业金融机构名义开展活动；

（四）服务提供商接触银行业金融机构信息时，需满足安全和保密相关条款的要求；

（五）在发生银监会规定的信息科技突发事件，或发生可能引发系统性、区域性银行业信息科技风险类突发事件时，服务提供商应及时向银行业金融机构报告，包括事件的影响以及处臵

和纠正措施。

第三十七条

银行业金融机构应当在合同或协议中明确要求服务提供商不得将外包服务转包和变相转包。在涉及外包服务分包时应当要求：

（一）不得将外包服务的主要业务分包；

（二）主服务提供商对服务水平负总责，确保分包服务提供商能够严格遵守外包合同或协议；

（三）主服务提供商对分包商进行监控，并对分包商的变更履行通知或报告审批义务。

第四节 外包服务安全管理

第三十八条

银行业金融机构应当制定和落实信息安全管控措施，防范因外包活动引起的信息泄露、信息篡改、信息不可用、非法入侵、物理环境或设施遭受破坏等风险。具体措施包括：

（一）对外包人员进行信息安全培训，提高风险管理意识，确保信息安全管控措施在外包服务过程中有效落实；

（二）明确外包活动需要访问或使用的信息资产，包括场地、办公设施、计算机、服务器、软件、数据、信息、物理访问控制设备、账号、网络宽带、网络端口等，按“必需知道”和“最小授权”原则进行访问授权；

（三）对重要或核心的信息系统开发交付物进行源代码检查和安全扫描；

（四）定期对服务提供商进行安全检查，获取服务提供商自评估或第三方评估报告。

第三十九条

银行业金融机构对关联外包服务提供商定期进行的安全检查，不得以服务提供商的自评估替代，不得因关联关系而影响检查的独立性、客观性及公正性。

第四十条

银行业金融机构应当关注外包服务引入的新技术或新应用对现有治理模式及安全架构的冲击，及时完善信息安全管控体系，避免因新技术或应用的引入而增加额外的信息安全风险。

第五节 外包服务监控与评价

第四十一条

银行业金融机构应当对外包服务过程进行持续监控，要求服务提供商建立阶段性服务目标及任务，并跟踪任务的执行情况，及时发现和纠正服务过程中存在的各类异常情况。

第四十二条

银行业金融机构应当根据信息科技外包需求、合同、服务水平协议等建立明确的服务质量监控指标，并进行相应监控。常见指标包括：

（一）信息系统和设备及基础设施的可用率、设备的开机率；

（二）故障次数、故障解决率、故障的响应时间；

（三）服务的次数、客户满意度；

（四）各阶段业务需求的及时完成率、程序的缺陷数、需求变更率；

（五）外包人员工作饱和率、外包人员的考核合格率。

第四十三条

银行业金融机构应当建立明确的服务目录、服务水平协议以及服务水平监控评价机制,并确保外包服务监控基础数据和评价结果的真实性和完整性，且数据至少需保存到服务结束后一年。

第四十四条

银行业金融机构应当对服务提供商的财务、内控及安全管理进行持续监控，关注其因破产、兼并、关键人员流失、投入不足和管理不善等因素引发的财务状况恶化及内部管理混乱等情况，防范外包服务意外终止或服务质量的急剧下降。

第四十五条

银行业金融机构监控到异常情况时，应当及时督促服务提供商采取纠正措施，情节严重的或未及时纠正的，应当约谈服务提供商高管人员并限期整改。

第四十六条

外包服务结束时，银行业金融机构应当对服务提供商进行评价，评价结果应当作为服务提供商准入的重要参考依据。

第四十七条

对于关联外包，银行业金融机构董事会及高级管理层应当推动母公司或所属集团将外包服务质量纳入对服务提供商的业绩评价范围，建立外包服务重大事件问责机制。同时，应当要求服务提供商在其内部建立与外包服务水平相关的绩效考核机制。

第六节 外包服务中断与终止

第四十八条

银行业金融机构应当考虑信息科技外包的引入对业务连续性管理的影响，有针对性地完善业务连续性管理计划，包括但不限于：

（一）识别出重要业务所涉及的服务提供商和资源；

（二）通过合同、协议等形式明确要求服务提供商提前准备并维护好相关资源；

（三）对服务提供商业务连续性管理进行监控，并评价其管理水平；

（四）在进行业务连续性计划演练时将相关的服务提供商纳入演练范围。

第四十九条

为降低外包突发事件的可能性及影响，银行业金融机构应当事先对业务连续性管理造成重大影响的外包服务建立风险控制、缓释或转移措施，包括但不限于以下内容：

（一）在外包服务实施过程中持续收集服务提供商相关信息，尽早发现可能导致服务中断的情况；

（二）与服务提供商事先约定在其服务质量不能满足合同要求的情况下获取其外包服务资源的优先权；

（三）要求服务提供商制定服务中断相关的应急处理预案，如提供备份人员；

（四）对于涉及重要业务的外包服务，银行业金融机构需考虑预先在其内部配臵相应的人力资源，掌握必要的技能，以在外包服务中断期间自行维持最低限度的服务能力。

第五十条

银行业金融机构应当针对重要外包服务中断的场景，拟定相应的应急计划，并定期进行演练，考虑因素包括但不限于以下内容：

（一）事件场景，如重要人员流失导致服务无法持续，服务提供商主动退出，因资质变更、被收购、兼并或破产等原因导致的服务提供商被动退出等；

（二）事件持续时间和恢复可能性；

（三）事件影响范围和可能的应急措施；

（四）服务提供商自行恢复服务的可能性和时间；

（五）备选的服务提供商以及外包服务迁移方案；

（六）外包服务过渡给银行业金融机构自行运作的可能性、时效及资源需求。

第五十一条

对于无法满足外包服务要求或发生重大事件的情况，银行业金融机构应当在充分评估其影响及制定退出计划的前提下，考虑主动要求服务提供商终止服务，情节特别严重的，可考虑取消准入资质，并报监管机构申请对其备案。对于关联外包，银行业金融机构不得因为关联关系而影响服务提供商退出机制的落实。

第五章 机构集中度风险管理

第五十二条

银行业金融机构应当依据服务提供商所承接外包服务的数量、金额在本行重要信息科技服务中的占比，服务提供商所承接外包服务在银行业服务市场占比情况，识别具有机构集中度特点的外包服务提供商。同时，还应识别服务提供商之间为集团子公司、关联公司或附属机构所产生的机构集中度风险。

第五十三条

银行业金融机构应当积极采用分散信息科技外包活动、提高自主研发运行能力等形式，降低机构集中度，减少对外包服务提供商的依赖。

第五十四条

银行业金融机构应当要求具有机构集中度特点的外包服务提供商提供充分的证据，证明其内部控制和管理能力、持续运营能力等。

第五十五条

银行业金融机构应当要求具有机构集中度特点的外包服务提供商为银行业金融机构配备相对独立的资源，包括服务团队、场地、系统、设备等；并对资源进行定期检查，确保资源及时到位。

第五十六条

银行业金融机构应当要求具有机构集中度特点的外包服务提供商在外包服务中断应急预案中，明确外包服务的优先级，并进行服务中断应急演练，服务提供商应当至少参与服务交接、敏感信息处臵等演练过程。

第五十七条

银行业金融机构应当特别加强对具有机构集中度特点的外包服务提供商的财务、内控、安全管理情况的持续监控，建立信息收集机制，及时掌握风险事件情况，防范外包服务意外终止或服务质量急剧下降对本机构产生大面积影响。

第五十八条

银行业金融机构应当对具有机构集中度特点的外包服务提供商增强监督频率与力度，必要时可指派专人进行现场监督。

第五十九条

对于具有机构集中度特点的外包服务提供商为同业托管机构的情况，银行业金融机构可参照本节内容对其进行外包管理。

第六章 跨境及非驻场外包管理

第一节 跨境外包风险管理

第六十条

跨境外包是指在境外其他国家或地区实施的信息科技外包服务活动。

第六十一条

跨境外包除具有本指引前述风险外，还包括由于某一国家或地区经济、政治、社会变化及事件而产生的国别风险，及由于外包实施场地远离银行业金融机构而产生的非驻场风险。

第六十二条

银行业金融机构应当充分了解并持续监控服务提供商所在国家或地区状况，通过建立业务连续性计划防范跨境外包所带来的国别风险。

第六十三条

银行业金融机构应当关注国外法律法规、监管要求对其获取服务提供商外包管理信息可能造成的影响。实施跨境外包应当以不妨碍银行业金融机构有效履行外包服务监控管理职能及监管机构延伸检查为前提。

第六十四条

银行业金融机构在选择跨境外包时，应当明确其所在国家或地区监管当局已与银监会签订谅解备忘录或双方认可的其他约定。

第六十五条

银行业金融机构在选择跨境外包时，还应当充分审查评估服务提供商保护客户信息的能力，并将其作为选择服务提供商的重要指标。涉及客户信息的跨境外包，应当在符合监管法规政策并获得客户授权的前提下开展。

第六十六条

银行业金融机构在实施跨境外包时，其合同应当包括法律选择和司法管辖权的约定，明确争议解决时所适用的法律及司法管辖权，原则上应当要求服务提供商依照中国的法律解决纠纷。

第二节 非驻场外包风险管理

第六十七条

非驻场外包是指服务提供商不在银行业金融机构现场提供服务的外包形式。由于银行业金融机构不能对其内部控制及风险管理措施进行直接管控，应当在信息安全、知识产权保护、质量监控、法律合规等方面加强对服务提供商的风险管理。

第六十八条

银行业金融机构应当建立针对非驻场外包服务的内部控制及风险管理要求的最低标准，该标准应当作为选择服务提供商的最低要求。

第六十九条

银行业金融机构应当对重要的非驻场外包服务进行实地检查。实地检查原则上一年不少于一次，检查结果作为外包服务提供商项目考核及准入的重要指标。

第七十条

银行业金融机构应当加强对外包服务提供商非驻场外包服务内部控制、质量管理、信息安全的有效性评估，评估结果作为供应商准入的重要依据。对于高风险的服务提供商，银行业金融机构应当责令其进行限期整改，对于逾期未改的服务提供商应当暂停或取消其服务资格。

第七十一条

对于非驻场外包服务提供商为同业托管机构的情况，银行业金融机构可以参照本节内容对其进行外包管理，但同业托管机构须将为其他同行业金融机构提供的信息科技外包服务视同自身信息科技服务的重要组成部分，不得区别对待，降低对自身提供外包服务的风险管控水平。

第七章 银行业重点外包服务机构风险管理要求

第七十二条

银行业重点外包服务机构是指集中为银行业金融机构提供外包服务，同时满足下述条件，如其外包服务失败可能导致银行业大面积数据损毁、丢失、泄露或信息系统服务中断，造成经济损失的机构，具体条件如下：

(一)承担集中存贮客户数据的业务交易系统外包服务；或承担银行业金融机构客户资料、交易数据等敏感信息的批量分析或处理服务；或承担银行业金融机构数据中心、灾备中心机房及基础设施外包服务；且上述服务均为非驻场外包服务。

(二)服务的法人银行业金融机构数量、服务合同金额占有本服务领域市场份额的三分之一以上；或服务的跨区域经营法人银行业金融机构数量达到3家或以上；或服务的其他类型法人银行业金融机构数量达到10家或以上。

第七十三条 银行业金融机构应当根据监管机构发布的银行业重点外包服务机构风险提示，按照如下要求进行管理：

(一)银行业重点外包服务机构应当是中华人民共和国境内注册的独立法人实体，注册资本和实收资本不少于1000万，注册成立时间不少于3年。

(二)银行业重点外包服务机构应当拥有健全的组织架构，并针对所提供的外包服务建立有效的风险治理架构，至少应当建立由公司高级管理层直接领导、针对银行业金融机构外包服务的、专职信息科技风险管理团队，为持续的外包服务提供保证。

(三)银行业重点外包服务机构应当建立与所承担的服务范围和规模相适应的服务管理体系，建立完善的信息安全、服务质量、服务持续性等管理制度体系，拥有有效的检查、监控和考核机制，确保管理规范有效执行。

(四)银行业重点外包服务机构应当具有足够的技术能力、人力资源和设施、环境，满足外包服务的质量和安全管理要求。银行业重点外包服务机构承担的银行业金融机构外包服务场地应当设臵在中国境内。第七十四条

银行业金融机构应当要求银行业重点外包服务机构具有如下相关领域资质认证:(一)具有完善的信息安全管理体系、业务连续性管理体系，并通过业界公认较为权威的信息安全管理和业务连续性管理资质认证。

(二)具有完善的质量管理体系，并通过业界公认较为权威的质量管理资质认证。

(三)承担银行业金融机构数据中心、灾备中心机房及基础设施外包服务的银行业重点外包服务机构，其机房及基础设施应当达到国家电子计算机机房最高标准。

(四)承担集中存贮客户数据的业务交易系统外包服务，或承担银行业金融机构客户资料、交易数据等敏感信息的批量分析或处理服务的银行业重点外包服务机构，应当具有完善的运行服务管理体系，并通过业界公认较为权威的运行服务管理资质认证。

第七十五条

银行业金融机构应当在风险管理、审计方面对银行业重点外包服务机构提出如下要求：

(一)银行业重点外包服务机构应当具有信息科技风险的管理体系，有效识别、监测、评估和控制风险。银行业重点外包服务机构应当至少每季度向所服务的银行业金融机构报送外包风险监控报告，针对监控发现的潜在风险或风险事件，及时采取控制或缓释措施。

(二)银行业重点外包服务机构应当每年聘请独立的审计机构,对自身外包服务进行风险评估,风险评估报告需报送所服务的银行业金融机构，并抄送银监会或其派出机构。

(三)银行业重点外包服务机构应当对其外包服务团队成员进行背景调查，确保其过往无不良记录，且应当与项目成员签订保密协议，并保留至少10年的法律追诉期。

第八章 监督管理

第七十六条

银行业金融机构开展以下信息科技外包服务时,应当在外包合同签订前二十个工作日向银监会或其派出机构报告，针对银行业金融机构信息科技外包风险，银监会及其派出机构可以采取风险提示、约见谈话、监管质询等措施。

（一）信息科技工作整体外包；

（二）数据中心或灾备中心整体外包；

（三）涉及将银行业金融机构客户资料、交易数据等敏感信息交由服务提供商进行分析或处理的信息科技外包；

（四）以非驻场形式实施的、集中存贮客户数据的业务交易系统外包；

（五）关联外包；

（六）涉及跨境的信息科技外包；

（七）其他银监会认为重要的信息科技外包。

第七十七条

银行业金融机构信息科技外包活动中发生如下重大事件时，应当在两个工作日内向银监会或其派出机构报告。

（一）银行业金融机构客户信息等敏感数据泄露；

（二）数据损毁或者重要业务运营中断；

（三）由于不可抗力或服务提供商重大经营、财务问题，导致或可能导致多家银行业金融机构外包服务中断;

（四）其他重大的服务提供商违法违规事件；

（五）银监会规定需要报告的其他重大事件。

第七十八条

银行业金融机构在开展外包风险管理评估工作后，应当将风险评估报告报送银监会或其派出机构。

第七十九条

银监会及其派出机构对银行业金融机构信息科技外包工作进行监督和检查，监督检查结果纳入对银行业金融机构的监管评级。

第八十条

对于风险较高的信息科技外包服务，银监会或其派出机构可以要求银行业金融机构暂缓、中止该类外包服务，直至银行业金融机构、外包服务提供商有效改正。

第八十一条

银行业金融机构违反本指引规定的，银监会或其派出机构可要求其纠正或采取替代方案，并视情况予以问责。因管理过失导致外包活动严重危及银行业金融机构稳健运行、损害存款人和其他客户合法权益的，依法追究银行业金融机构管理责任。

第八十二条

银监会实行银行业信息科技外包服务活动风险监测机制，定期对银行业金融机构发布银行业重点外包服务机构名单和风险提示，防范因高机构集中度外包服务导致的系统性、区域性信息科技风险。第八十三条

银监会应当对具有机构集中度特点的银行业金融机构信息科技外包服务进行重点风险监测、评估，根据需要，可以要求银行业金融机构与重点外包服务机构会谈，就其外包服务活动和风险的重大事项作出说明。

第八十四条

银监会应当组织银行业金融机构实地核查银行业重点外包服务机构承担的银行业金融机构信息科技服务活动，原则上每两年进行一次，也可以委托其他第三方机构审计的形式实施。

第八十五条

银监会可以根据银行业金融机构信息科技服务活动风险评估和实地核查结果，对银行业金融机构发出监管提示，要求其督促银行业重点外包服务机构对风险问题实施整改。

第八十六条

银行业重点外包服务机构应当配合银行业金融机构及银监会的风险监测和实地核查。

第八十七条

银监会组织相关银行业金融机构对银行业信息科技外包服务提供商建立服务管理记录，并对其进行风险评估和评级。

第八十八条

服务提供商在外包服务中存在以下情形的，银监会定期向银行业发布服务提供商风险预警，公布机构名单、服务信息等，要求银行业金融机构禁止相关服务提供商承担银行业信息科技外包服务，禁止期至少为两年。外包服务提供商两年内仍未整改的，延长其禁止期。

（一）违反国家法律、法规和监管政策，情节严重的；

（二）窃取、泄露银行业金融机构敏感信息，情节严重的；

（三）因管理过失，多次发生重要信息系统服务中断或数据损毁、丢失、泄露事件的；

（四）服务质量低下并给多家银行业金融机构造成损失，多次提示仍未整改的；

（五）对风险监测和实地检查发现的问题，逾期仍未整改的；

（六）存在其他违法违规行为，或发生其他重大信息科技风险事件的。

第八十九条

银监会负责监督银行业金融机构对信息科技外包服务提供商实施准入管理。对于存在重大风险的外包活动，银行业金融机构应当立即评估外包的适当性，对信息科技外包服务提供商进行风险预警提示，要求其进行整改并设定期限；逾期未整改的，禁止其承担信息科技外包服务。

第九章 附则

第九十条

本指引由银监会负责解释、修订。第九十一条

本指引自公布之日起施行。