基层银行业信息科技风险表现及防范对策

第一篇：基层银行业信息科技风险表现及防范对策

基层银行业信息科技风险表现及防范对策

随着信息科技在银行业经营管理全过程的推广运用，银行对信息科技的依赖程度显著提高，在促进银行改进流程、加快发展的同时，银行业机构信息科技风险防范工作面临着新形势、新情况和新问题，信息科技风险事件凸现。加强基层银行业机构信息科技风险防范，对于维护银行业机构以及整个银行业体系的安全稳定至关重要。

一、当前银行业机构信息科技风险的主要表现

(一）数据大集中引发的风险

数据的集中直接带来了银行金融产品的升级和服务、管理手段的提高，但银行数据大集中后，可能带来的风险隐患也随之加大。一是不可抗力引发的风险。一旦出现突发的灾难事故，将导致系统性的业务停顿与客户流失，甚至会引起业务系统瘫痪，造成社会不稳定。二是系统安全维护工作不及时引发的危险。在数据大集中前，系统架构相对简单，原有的各地方数据中心均由技术人员负责辖内各系统的安全维护工作。由于他们对原系统涉及的各个环节比较熟悉，与系统软件开发商的联系较为密切，与区域内的网络运营商的协调能力较强，因此能迅速调动各种技术力量解决问题，对客户的响应时间较快。而数据集中后，虽然在管理上便于维护、升级，但由于数据集中后的系统的架构变得更加复杂，牵扯的各方面因素比原来大大增加，而且很多问题由于权限问题在市级分行层面漂统前臵立韵无法得到很好的解决，往往需要向总行数据总中心反映，才能得到根本的解决，这在一定程度上削弱了现有数据中心技术人员应急抗灾能力和应变管理能力。三是外包风险。数据大集中后，对系统开发、网络管理、运行维护等的要求更加专业化了。

随着IT 外包服务的概念逐步被各银行业机构接受，各银行业机构开始尝试实施IT 服务外包，这既有利于银行降低运营成本，也有利于银行集中更多的精力专注于自身的核心业务发展。但银行不是一般的企业，它是经营货币的特殊企业，银行信息系统、数据的安全不仅关系着自身的生存，而且关系着整个国家的经济命脉，而实行IT 外包服务后不仅银行内部掌握的大量敏感数据可能被外包公司掌握，而且更重要的是目前可以为银行提供IT 外包服务的大多数是国际跨国公司，万一国际政治、军事形势发生变化，外包公司随时可能停止提供服务，造成我国银行业的业务中断，严重影响我国的金融经济秩序，造成巨大混乱和损失。

（二）技术风险

近几年，银行业机构开展了以互联网技术支持的银行服务与产品创新，出现了网络银行和较完备的电子银行体系，为客户提供“随时、随地、随意”的" 3A ”级服务。该创新领域在提升服务效率的同时存在以下风险：一是行业性风险。由于应有程序在研制过程中考虑不周或在编制程序时不够严密导致应用软件本身设计不完全，出现应用系统在运行过程中账务错乱、数据信息受损等问题。二是外生性风险。由于计算机及网络设备因各种突发灾害、运行环境或硬件本身及相关元器件的缺陷、故障导致系统不能正常工作而带来的风险。三是数据传输风险。客户在进行网上交易时，数据在传输过程中被泄露、篡改、伪造致使客户信息被盗取，影响资金安全。四是网上银行的操作风险。由于网上银行快速发展，假银行网站、克隆网站或网络黑客通过截获客户通讯数据、安装木马程序等方式套取用户密码和交易密码，转移客户在银行的资金。

（三）安全风险

一是物理安全。计算机房设计、安装达不到国家规定的安全运行环境标准而造成的隐患。二是网络安全。该风险既来自计算机系统停机、磁盘列阵破坏等不确定因素，也来自网络外部的黑客攻击，以及计算机病毒破坏等因素。三是主机安全。网上黑客的袭击范围不断增大，手段日益翻新，利用网上的任何漏洞和缺陷非法进入主机，窃取银行信息。四是系统安全。计算机网络病毒通过网络进行扩散与传染，传播速度是单机的几＋倍，一旦某个程序被感染，则整台机器、整个网络也很快被感染，不仅会扰乱或中断正常的服务，而且会给银行带来直接的经济损失。

（四）管理风险

一是制度不健全。银行信息科技风险管理的有关制度和程序还存着一定的漏洞，与快速发展的信息科技不适应，距专业化的要求还有一定距离，还需要进一步完善和细化组织机构及岗位设

臵。具体表现在：各级管理层没有成立相关信息科技风险管理的领导和决策机构，科技部门独立于其它业务部「1 之外的现象比较普遍。二是执行不规范。银行业机构由于信息科技人员较少，存在人员数量不足，系统开发、技术支持、系统操作维护和系统安全不能严格分开，主要技术支持岗位未实现岗位定期轮换。缺乏专门的技术风险管理部门或岗位进行有效的监督约束，不能有效识别并量化可能存在的信息科技风险因素。三是管理不规范。由于信息技术部「1 专业性极强，高级管理层和风险控制部门无法对其实施有效监管飞四是信息科技人才短缺，无法实现计算机业务数据录入员、计算机程序员和网络系统管理员之间相互制约、互相监督，容易产生操作风险。

二、加强信息科技风险管理的建议

(一）建立银行业信息科技安全审核制度

要建立信息科技安全联席会议。由监管部门牵头，各家商业银行参与，定期对银行信息科技情况进行交流，对各银行信息科技安全进行评价与沟通。对现有的银行信息技术法规和标准进行全面检查、清理、规范，研究制定新的系统性发展规划，加快推进银行信息化技术规范和标准体系建设的步伐。

（二）加强信息科技风险监管

监管机构应密切关注商业银行的科技信息风险，了解掌握信息科技风险状况和水平，全面推进信息科技风险监管。对信息科技内部、外部风险进行评价和审计，将信息科技风险纳入银行整体风险监管框架之中。

（三）督促商业银行建立和完善信息科技内控机制

一是加强内控制度建设，做到“制度防内”。二是建立信息科技安全防范体系，做到“技术防外”。商业银行应研究制订安全技术标准和技术规范，逐步建立银行信息系统安全应用平台，从技术手段上加强安全措施，通过部署防火墙子系统、VPN 子系统、入侵检测子系统、服务器核心防护子系统、防病毒子系统、日志审计子系统、内网监控子系统、安全管理子系统等，防止病毒及外部黑客的入侵，确保银行信息系统安全。

（四）加强信息科技安全应急机制的建设

要加强信息科技安全应急恢复体系的建设，加强安全监控，进一步完善信息安全应急处臵机制和信息通报机制，制定应急预案并进行演练，提高金融信息系统预警、应急处臵和恢复能力，保障金融业务的连续稳定运行。

（五）培养和选拔信息科技管理人才要加强对监管专业人才的培养，建立一支具备专业知识的监管队伍，既要掌握银行监管法律法规，还要对金融新产品、电子技术有相当的熟悉程度，逐步建立符合我国国情的信息科技监管制度。

第二篇：基层银行业金融机构对账工作中的风险及防范对策

中及对策

小大

文章来源：网络 点击数：1 更新时间：2008-8-29 11:53:03 银行业金融机构对账工作是进行会计核算的重要基础，也是加强内部控制、防范案件发生的有效监督手段。湖南岳阳银监分局在检查和调查中发现，目前无论是企业、还是银行，普遍对相互对账工作重视不够，出现了一些新的情况和问题，有的已成为直接的案件诱因，其暴露的问题和隐含的风险须引起高度关注。

一、主要表现

其一，客户对账意识“淡化”。有的认为账务核对工作加重了自身负担和工作量，能拖则拖；有的认为银行是铁账本和电子化柜员操作，不会出错，不及时主动对账，致使银行业金融机构发出的对账单的返收率普遍较低。其二，基层银行业金融机构对账管理“弱化”。一是对账范围不全面。检查辖内四家国有商业银行分支机构发现，除了对单位基本存款账户按月发出对账单外，对单位定期存款账户、保证金存款账户和贷款账户没有全部发出对账单。二是账务核对不及时。检查发现，回收的对账单中，一半以上在月初发出对账单到第二个月才收回，对账时效大打折扣。三是相关操作规定与制度要求有悖。商业银行内部管理规定“存贷款对账单应在15个工作日内对账结束”，而有的规定其下级行在每月的25日收回对账回单。

其三，对账手段“老化”。目前，基层银行业金融机构利用网络进行电子化对账方式几乎没有，远不能适应和客户对账工作及管理需要。

其四，法规要求“软化”。目前已出台的金融法规中，没有相应的责任认定、追究措施和处罚手段，一旦因对账不及时而造成损失，双方相互埋怨，相互指责，甚至引起群体性事件和法律纠纷。

二、造成的危害

一是给犯罪分子以可乘之机。据对全市2003年1月至2006年8月发生的案件统计分析，辖内银行业金融机构共发生各种案件46起，其中发生在一线会计、出纳（柜员）岗位和信贷岗位的案件占30起，其中绝大部分涉案人员正是利用了当前账户核对工作不规范、不及时、不全面等方面的漏洞而屡屡得逞。二是给银行业金融机构造成重大资金损失。由于相互对账工作存在较大的漏洞和隐患，客户资金一旦被挪用、盗用等一时难以暴露和发现，犯罪分子作案后，有充裕的时间转移资金或者潜逃，给银行业金融机构造成的损失往往是巨大的。三是给银行业金融机构声誉和业务发展带来不利影响。由于银行业金融机构挪用、盗用客户资金等案件的频繁发生，使部分客户对存入资金产生怀疑和恐惧心理，使部分银行业金融机构存款业务出现非正常萎缩。

三、有关建议

其一，需要法规的有力支持。借鉴国际惯例，对《会计法》和《人民币银行账户管理办法》进行修订，增加单位法人代表或财务负责人在对账单签章法律责任的条款，并结合明确规定银企双方的对账责任及制约处罚措施，明确各方职责。

其二，需要银行的工作到位。一是宣传要到位。将对账宣传工作辐射到企业客户，加深客户对银企对账重要意义的认识，使客户对银企对账规定家喻户晓。二是管理要到位。建立健全分级负责、职责明确的与客户对账管理长效机制。三是检查要到位。业务管理部和网点主任、业务主管必须坚持每月定期检查本网点与客户对账情况，包括检查对账员履职情况、对账单发出回收及保管情况、重点账户对账情况、对账结果核实情况、客户对对账的反馈情况等，发现问题，立即整改。四是服务要到位。把上门送单和收单、直接面对面对账作为提高对账率的重点措施加以施实，争取客户的主动配合。五是核实要到位。包括对账单发单数、收回数、账务核对结果，重点账户是否百分之百核对相符，所有的银企账务是否真的核对一致分文不差，客户是否签章确认等。其三，需要客户的积极配合。企业要建立会计人员按时对账责任制，对每月发生的企业、银行往来账项进行核对，对未达账项要建立台账，注明原因，有条件的企业要建立企业网上银行，进行网上结算，更直接、更便捷进行账务处理和账务监督，及时发现问题。同时企业的负责人要树立金融理财意识，特别对大额款项的划转要建立严格的签批制度，做到心中有数，防止出现各类财务差错事故。

其四，需要技术手段的更新保障。应认真研究客户管理模式和客户财务软件的需求，进一步加快对账工具创新步伐，积极采取传真电话、寄送挂号信、手机短信、互联网、银企系统对接等对账方式，贯彻客户对账服务差别化策略，以满足客户对对账服务个性化和及时性需求。同时，加大银行客户对账系统与综合业务管理系统的信息共享程度，提升客户对账系统对业务系统返传信息的处理能力，条件成熟时实现客户信息实时共享。

第三篇：银行业信息科技风险监管报告

探索银行业信息科技风险监管框架

银行业信息科技风险监管概述

信息科技风险是随着信息科技技术广泛应用而新生的词汇，最早出现在上世纪九十年代，目前业界对此缺乏统一的定义。中国银监会定义的信息科技风险是指信息科技在商业银行运用过程中，由于自然因素、人为因素、技术漏洞和管理缺陷产生的操作、法律和声誉等风险。

2001年巴塞尔新资本协议草案明确了银行业资本监管的发展趋势，即将资本要求与银行风险管理紧密相连。新资本协议以监管当局对资本计量的要求为基础，通过约束银行资本，达到控制行业规模和风险的目的。在新资本协议关注的三大风险中，信息科技风险被默认为操作风险的一部分，未对信息科技风险的管理提出具体要求。

信息科技稳定运行是银行业务正常经营的基本条件，银行数据集中造成了风险的高度集中，科技风险成为唯一能使银行瞬间瘫痪的风险。信息科技风险具有区别于其他操作风险的特殊性：一是风险因素复杂，大量使用外包和新技术使得风险控制的复杂度大幅提高；二是由于管理因素、技术因素多重作用，导致偶发性和不确定性突出；三是信息科技一般不直接造成经济损失，其造成的间接损失难以计量；四是单个信息系统可影响多个业务，影响范围广且具有不确定性。

科技风险与操作风险当前处在不同的发展阶段，其管理理论、管理方法等方面有着一定的差异性。在管理体系方面，信息科技风险管理的理论已进入风险导向的科技风险管理阶段，但以风险为导向的识别、监测、计量方面尚不成体系；在管理方法方面，信息科技风险的特殊性在于产品和技术层面的风险也是其重要风险因素；在损失特点方面，信息科技风险通常不产生直接的风险损失，这决定了通常情况下科技风险损失往往难以使用货币金额方式进行表示；在风险计量方面，目前尚缺乏有效计量信息科技风险资本的方法。

当前银行业大多将信息科技风险作为操作风险的一部分，纳入银行全面风险管理体系。但是，随着行业发展和技术进步，在操作风险模式下管理信息科技风险也存在一定的困难：一是目前的操作风险管理方法中对科技风险的管理方法涉及较少，难以兼顾到信息科技风险的专业技术特性，难以实现对信息科技风险的有效管理 ；二是风险监管资本计量未能充分考虑信息科技风险因素，信息科技风险造成的损失及其相应的监管资本计量存在困难。基于科技风险特点及其作为操作风险一部分进行管理遇到的问题，将信息科技风险从操作风险中拆分并独立管理，能更有效的管理信息科技风险。

信息科技风险应被视为一种独立的、重要的风险类型被单独管理，与操作风险的管理分开；应根据信息科技损失的特点设计与操作风险标准法和高级法匹配的计量模型，体现信息科技风险对银行资本的影响和敏感性。

银行业信息科技风险核心监管指标

在实施“风险为本”的监管框架中，需要探索建立一套可量化、相对简单、可动态监测的核心监管指标体系，来动态监测信息科技风险状况，直观评估银行信息科技风险的管理水平。

核心监管指标作为监管机构识别和预警银行风险的重要手段和方法，对健全内部风险制衡机制，完善风险管理政策和流程，优化风险计量工具，进行有效的风险控制起到了积极的促进作用。信息科技风险核心监管指标可以分为两类，一类是结果性指标，另一类是过程性指标。结果性指标是以目标为导向，对已经发生的科技风险事件和信息安全事件进行统计后建立的量化指标，其反映的是风险状况和发展趋势。过程性指标主要反映银行风险控制和管理能力。这样两类指标相互补充，起到全面评估机构风险水平的目的。

信息科技风险监管具体目标包括业务连续性、信息安全、公众满意度以及合法合规。从信息科技风险监管目标出发，可逐层分解出系统可利用率、业务量等指标，它们相对简单、直观、容易测算和计量，可以成为结果性指标。另外一类是过程性指标，这类指标基于当前银行业信息科技管理最佳实践，对信息科技的每个领域都能够起关键控制作用。监管指标一方面可以用来监测银行业整体风险状况，评估银行业风险水平，同时也可以与监管手段相结合，提高信息科技风险监管水平。

银行业信息科技风险资本计量

信息科技风险是巴塞尔新资本协议全面风险计量框架中的组成部分，科技风险资本计量是科技风险管理的重要手段。

计量信息科技风险可以借鉴当前相对成熟的操作风险的计量方法。但是，直接用操作风险计量方法计量信息科技风险存在挑战，主要表现如下：一是信息科技风险与总收入、业务交易量、客户数或业务交易金额等指标的关联并不密切；二是大部分信息科技风险的损失不是显性的，除少数信息科技风险事件（如引发客户索赔、延误罚息）有“直接损失”外，大部分信息科技风险事件的影响体现为业务中断、声誉受损等“间接损失”；三是信息科技风险损失数据相对较少，极端严重事件的数据更少，计量 “尾部风险”面临挑战。

基于高级法的计量思路是在操作风险的统一计量框架下对信息科技风险这一类型单独计量，可将信息风险损失定义为金额损失和时间损失两个维度，建立时间与金额的转换关系，拟合频率分布和严重度分布，之后整合为总损失分布，根据置信度确定未来一定时期内的非预期损失，最后用内部衡量法进行调整得出计量结果。将科技风险持续时间转换为间接损失金额有两种方法，分别为解析法和映射法。解析法是考量信息系统对银行利润贡献度，即某个信息系统单位时间对银行产生的利润，根据系统中断时间、影响范围、系统重要性进行计算，得出信息科技风险事件的间接损失。映射法是根据影响范围和系统重要程度将影响时间加权计算转化为“标准”的影响时间，然后建立标准影响时间与损失金额之间的映射关系，从而确定损失。

未来，随着信息技术的飞速发展，银行业对信息科技的依赖越来越大，云计算、物联网等新技术既加快了银行创新发展，对信息科技风险管理提出了更高的要求；快速变化的外部环境，开放的互联网环境，技术类企业、第三方平台等非金融机构与银行业的业务服务不断融合等，所有这些都使得信息科技风险管理与监管面临着更加现实的挑战，需要我们不断地思考和研究，提高信息科技风险管理能力。

（本文是中国金融四十人论坛内部课题《银行业金融机构信息科技风险监管研究》的报告简本，课题得到中国金融四十人论坛立项资助并组织专家评审）

第四篇：银行业金融机构信息科技外包风险监管指引

中国银行业监督管理委员会

银监发[2013]5号

中国银监会关于印发银行业金融机构信息科技外

包风险监管指引的通知

各银监局，各政策性银行、国有商业银行、股份制商业银行、金融资产管理公司，邮储银行，各省级农村信用联社，银监会直接监管的信托公司、企业集团财务公司、金融租赁公司：

现将《银行业金融机构信息科技外包风险监管指引》印发给你们，请遵照执行。

2013年2月16日

银行业金融机构信息科技外包风险监管指引

第一章 总则

第一条

为规范银行业金融机构的信息科技外包活动，降低信息科技外包风险，根据《中华人民共和国银行业监督管理法》、《中华人民共和国商业银行法》等法律法规，制定本指引。

第二条

在中华人民共和国境内设立的政策性银行、商业银行、农村合作银行、省（自治区）农村信用社联合社适用本指引。银监会监管的其他金融机构参照本指引执行。第三条

本指引所称信息科技外包是指银行业金融机构将原本由自身负责处理的信息科技活动委托给服务提供商进行处理的行为，包含项目外包、人力资源外包等形式。原则上包括以下类型：

（一）研发咨询类外包：科技管理及科技治理等咨询设计外包，规划、需求、系统开发、测试外包；

（二）系统运行维护类外包：包括数据中心（灾备中心）、机房配套设施、网络、系统的运维外包，自助设备、POS机等远程终端及办公设备的运维外包；

（三）业务外包中的信息科技活动：市场拓展、业务操作、企业管理、资产处臵等外包中的系统开发、运行维护和数据处理活动。

第四条

本指引所称关联外包是指服务提供商为银行业金融机构的母公司或其所属集团子公司、关联公司或附属机构提供信息科技外包。

第五条

信息科技外包可能产生如下风险，并导致银行业金融机构的战略、声誉、合规风险：

（一）科技能力丧失：银行业金融机构过度依赖外部资源导致失去科技控制及创新能力，影响业务创新与发展；

（二）业务中断：支持业务运营的外包服务无法持续提供导致业务中断；

（三）信息泄露：包含客户信息在内的银行业金融机构非公开数据被服务提供商非法获得或泄露；

（四）服务水平下降：由于外包服务质量问题或内外部协作效率低下，使得银行业金融机构信息科技服务水平下降。

第六条

本指引所称机构集中度风险是指银行业金融机构将信息科技外包服务集中交由少量服务提供商承接而产生的风险，该风险可能造成集中性的服务中断、质量下降、安全事件等。

第七条

本指引所称同业托管机构是指作为外包服务提供商为其他同行业金融机构提供信息科技外包服务的银行业金融机构。

第八条

银行业金融机构应当将信息科技外包管理纳入全面风险管理体系，建立与本机构信息科技战略目标相适应的外包管理体系，控制或降低由于外包而引发的风险。

第九条

银行业金融机构应当建立信息科技外包管理组织架构，制定外包管理战略，定期进行外包风险评估，通过服务提供商准入、评价、退出等手段建立及维护符合自身战略目标的供应商关系管理策略。

第十条

银行业金融机构在实施信息科技外包时应当坚持以下原则：

（一）以不妨碍核心能力建设、积极掌握关键技术为导向；

（二）保持外包风险、成本和效益的平衡；

（三）强调外包风险的事前控制，保持管控力度；

（四）根据外包管理及技术发展趋势，持续改进外包策略和措施。

第十一条

银行业金融机构在实施信息科技外包时，不得将信息科技管理责任外包。

第十二条

对于不涉及银行客户及内部信息转移的信息科技产品采购、维保，及通讯线路租用、支付或清算系统接入等信息科技公共基础设施服务，银行业金融机构应当充分评估其信息科技风险，按照本指引第五章要求进行管理。

第二章 外包管理组织架构

第十三条

银行业金融机构董事会及高级管理层应当严格落实信息科技外包风险管理的相关职责, 明确信息科技外包风险管理的主管部门，制定并审批信息科技外包战略，审议信息科技外包管理流程及制度，督促并监控信息科技外包风险管理效果。

第十四条

信息科技外包风险主管部门的主要职责包括：

（一）对外包风险进行识别、评估与风险提示；

（二）监督、评价外包管理工作，并督促外包风险管理的持续改善；

（三）向高级管理层定期汇报信息科技外包活动相关风险管理情况；

（四）董事会或高级管理层确定的其他信息科技外包风险管理职责。

第十五条

银行业金融机构应当在信息科技管理部门或信息科技外包活动执行部门内建立信息科技外包管理执行团队，并配备足够人员履行以下职责：

（一）实施信息科技外包战略；

（二）制定并执行信息科技外包管理制度与流程；

（三）执行供应商准入、评价、退出管理，建立并维护供应商关系管理策略；

（四）制定保障外包服务持续性的应急管理方案，并组织实施定期演练；

（五）对外包过程中的各项管理活动进行监控及分析，定期向信息科技及外包风险管理主管部门报告外包活动情况。

第三章 信息科技外包战略及风险管理

第一节 信息科技外包战略

第十六条

银行业金融机构应当以提升信息科技队伍能力，提高科技管理及创新水平，掌握信息科技核心技能为目标，基于信息科技战略、外包市场环境、自身风险控制能力和风险偏好制定信息科技外包战略，包括：不能外包的职能、资源能力建设方案、供应商关系管理策略和外包分级管理策略。

第十七条

银行业金融机构应当根据自身信息科技战略明确不能外包的职能。涉及战略管理、风险管理、内部审计及其他有关信息科技核心竞争力的职能不得外包。第十八条

银行业金融机构应当根据外包战略制定资源、能力建设方案，通过补充人员、提升技能、知识转移等方式，有针对性地获取或提升管理及技术能力，降低对服务提供商的依赖。

第十九条

银行业金融机构应当建立与自身规模、市场地位相适应的供应商关系管理策略。通过准入和退出机制合理管控各类高风险服务提供商的数量，实现以下目标：防范行业垄断和机构集中度风险，通过引入适当的竞争在降低采购成本的同时提高服务质量，合理管控服务提供商的数量从而降低风险及管理成本等。

第二十条

银行业金融机构可以按照外包服务性质和重要性程度对服务提供商进行分级管理，对不同级别的服务提供商采取差异化的管控措施，在有效管理重要风险的前提下降低管理成本。

第二十一条

银行业金融机构要同母公司或集团公司协同做好外包服务及服务提供商的管理工作，但应当保持关联外包有关决策的独立性，避免因关联关系而降低外包活动的风险控制水平。

第二节 信息科技外包风险管理

第二十二条

银行业金融机构信息科技外包风险管理部门应当至少每年开展一次全面的外包风险管理评估，保持评估的独立性，并向高级管理层提交评估报告。评估内容包括：信息科技外包战略执行情况、外包信息安全、机构集中度、服务连续性、服务质量、政策及市场变化对外包服务的影响分析等。

第二十三条

银行业金融机构应当对重要的外包服务提供商进行定期的风险评估，保持评估的独立性。至少在三年内覆盖所有重要的服务提供商。评估内容包括：服务提供商合规情况、服务的执行效果等，评估结果应当作为服务提供商准入及退出的重要依据。

第二十四条

银行业金融机构内部审计部门应当定期开展信息科技外包风险管理审计工作，至少每三年对重要的外包服务活动进行一次全面审计。发生外包风险事件后应当及时开展专项审计。

第四章 信息科技外包管理

第一节 外包风险评估及准入

第二十五条

外包项目立项前，银行业金融机构应当审慎检查项目与信息科技外包战略的一致性，根据项目内容、范围、性质对其进行风险识别和评估，制定相应的风险处臵措施，不因外包活动的引入而增加整体剩余风险。重大外包项目应向董事会、高管层报告。

第二十六条

银行业金融机构应当根据供应商关系管理策略，结合风险评估结果及服务提供商的准入标准，对备选服务提供商进行初步筛选，防范引入高机构集中度风险特点的服务提供商、或引入增加整体风险的服务提供商。

第二十七条

对于外包服务提供商为同业托管机构的情况，银行业金融机构可参照本节内容对其进行管理。

第二节 服务提供商尽职调查

第二十八条

对重要的服务提供商，银行业金融机构在与其签订合同前应当深入开展尽职调查，必要时可聘请第三方机构协助调查。

第二十九条

银行业金融机构在尽职调查时应当关注服务提供商的技术和行业经验，包括但不限于：服务能力和支持技术、服务经验、服务人员技能、市场评价、监管评价等。

第三十条

银行业金融机构在尽职调查时应当关注服务提供商的内部控制和管理能力，包括但不限于：内部控制机制和管理流程的完善程度、内部控制技术和工具等。

第三十一条

银行业金融机构在尽职调查时应当关注服务提供商的持续经营状况，包括但不限于：从业时间、市场地位及发展趋势、资金的安全性、近期盈利情况等。

第三十二条

对于关联外包，银行业金融机构不得因关联关系而降低对服务提供商的要求，应当在尽职调查阶段详细分析服务提供商技术、内控和管理水平，确认其有足够能力实施外包

服务、处理突发事件等。

第三十三条

对于外包服务提供商为同业托管机构的情况，银行业金融机构可参照本节内容对其进行管理。

第三节 外包服务合同及要求

第三十四条

银行业金融机构在实施外包服务项目前，应当与服务提供商签订服务合同。合同应当根据外包服务需求、风险评估及尽职调查结果确定详细程度和重点。

第三十五条

银行业金融机构在合同或协议中应当明确以下内容，包括但不限于：

（一）服务范围、服务内容、工作时限及安排、责任分配、交付物要求以及后续合作中的相关限定条件；

（二）合规与内控要求，对法律法规及银行业金融机构内部管理制度的遵从要求、监管政策的通报贯彻机制、服务提供商的内控措施；

（三）服务连续性要求，服务提供商的服务连续性管理目标应当满足银行业金融机构业务连续性目标要求；

（四）银行业金融机构监控和检查的权利、频率，服务提供商配合其内、外部审计机构检查，及配合银行业监管机构检查的责任；

（五）政策或环境变化因素等在内的合同变更或终止的触发条件，外包服务提供商在过渡期间应该履行的主要职责及合同变更或终止的过渡安排，包括信息、资料和设施的交接处臵等过渡期间相关服务的安排；

（六）外包服务过程中产生、加工、交互的信息和知识产权的归属权以及允许服务提供商使用的内容及范围，对服务提供商使用合法软、硬件产品的要求；

（七）服务要求或服务水平条款，至少应当包括如下内容：外包服务的关键要素、服务时效和可用性、数据的机密性和完整性要求、变更的控制、安全标准的遵守情况、技术支持水平等；

（八）争端解决机制、违约及赔偿条款，至少包括如下内容：服务质量违约、安全违约、知识产权违约等，及在各种违约情况下的赔偿以及外包争端的解决机制；

（九）报告条款，至少包括常规报告内容和报告频度、突发事件时的报告路线、报告方式及时限要求。

第三十六条 银行业金融机构应当在合同或协议中明确服务提供商在安全和保密方面的责任，以及针对安全及保密要求需采取的具体措施。包括但不限于：

（一）禁止服务提供商在合同允许范围外使用或者披露银行业金融机构的信息，以防止信息被非授权使用；

（二）在合同或协议中约定服务提供商对银行客户信息安全和银行客户权利的保护条款、事故处理方式及违约赔偿条款；

（三）在合同或协议中约定服务提供商不得以所服务的银行业金融机构名义开展活动；

（四）服务提供商接触银行业金融机构信息时，需满足安全和保密相关条款的要求；

（五）在发生银监会规定的信息科技突发事件，或发生可能引发系统性、区域性银行业信息科技风险类突发事件时，服务提供商应及时向银行业金融机构报告，包括事件的影响以及处臵

和纠正措施。

第三十七条

银行业金融机构应当在合同或协议中明确要求服务提供商不得将外包服务转包和变相转包。在涉及外包服务分包时应当要求：

（一）不得将外包服务的主要业务分包；

（二）主服务提供商对服务水平负总责，确保分包服务提供商能够严格遵守外包合同或协议；

（三）主服务提供商对分包商进行监控，并对分包商的变更履行通知或报告审批义务。

第四节 外包服务安全管理

第三十八条

银行业金融机构应当制定和落实信息安全管控措施，防范因外包活动引起的信息泄露、信息篡改、信息不可用、非法入侵、物理环境或设施遭受破坏等风险。具体措施包括：

（一）对外包人员进行信息安全培训，提高风险管理意识，确保信息安全管控措施在外包服务过程中有效落实；

（二）明确外包活动需要访问或使用的信息资产，包括场地、办公设施、计算机、服务器、软件、数据、信息、物理访问控制设备、账号、网络宽带、网络端口等，按“必需知道”和“最小授权”原则进行访问授权；

（三）对重要或核心的信息系统开发交付物进行源代码检查和安全扫描；

（四）定期对服务提供商进行安全检查，获取服务提供商自评估或第三方评估报告。

第三十九条

银行业金融机构对关联外包服务提供商定期进行的安全检查，不得以服务提供商的自评估替代，不得因关联关系而影响检查的独立性、客观性及公正性。

第四十条

银行业金融机构应当关注外包服务引入的新技术或新应用对现有治理模式及安全架构的冲击，及时完善信息安全管控体系，避免因新技术或应用的引入而增加额外的信息安全风险。

第五节 外包服务监控与评价

第四十一条

银行业金融机构应当对外包服务过程进行持续监控，要求服务提供商建立阶段性服务目标及任务，并跟踪任务的执行情况，及时发现和纠正服务过程中存在的各类异常情况。

第四十二条

银行业金融机构应当根据信息科技外包需求、合同、服务水平协议等建立明确的服务质量监控指标，并进行相应监控。常见指标包括：

（一）信息系统和设备及基础设施的可用率、设备的开机率；

（二）故障次数、故障解决率、故障的响应时间；

（三）服务的次数、客户满意度；

（四）各阶段业务需求的及时完成率、程序的缺陷数、需求变更率；

（五）外包人员工作饱和率、外包人员的考核合格率。

第四十三条

银行业金融机构应当建立明确的服务目录、服务水平协议以及服务水平监控评价机制,并确保外包服务监控基础数据和评价结果的真实性和完整性，且数据至少需保存到服务结束后一年。

第四十四条

银行业金融机构应当对服务提供商的财务、内控及安全管理进行持续监控，关注其因破产、兼并、关键人员流失、投入不足和管理不善等因素引发的财务状况恶化及内部管理混乱等情况，防范外包服务意外终止或服务质量的急剧下降。

第四十五条

银行业金融机构监控到异常情况时，应当及时督促服务提供商采取纠正措施，情节严重的或未及时纠正的，应当约谈服务提供商高管人员并限期整改。

第四十六条

外包服务结束时，银行业金融机构应当对服务提供商进行评价，评价结果应当作为服务提供商准入的重要参考依据。

第四十七条

对于关联外包，银行业金融机构董事会及高级管理层应当推动母公司或所属集团将外包服务质量纳入对服务提供商的业绩评价范围，建立外包服务重大事件问责机制。同时，应当要求服务提供商在其内部建立与外包服务水平相关的绩效考核机制。

第六节 外包服务中断与终止

第四十八条

银行业金融机构应当考虑信息科技外包的引入对业务连续性管理的影响，有针对性地完善业务连续性管理计划，包括但不限于：

（一）识别出重要业务所涉及的服务提供商和资源；

（二）通过合同、协议等形式明确要求服务提供商提前准备并维护好相关资源；

（三）对服务提供商业务连续性管理进行监控，并评价其管理水平；

（四）在进行业务连续性计划演练时将相关的服务提供商纳入演练范围。

第四十九条

为降低外包突发事件的可能性及影响，银行业金融机构应当事先对业务连续性管理造成重大影响的外包服务建立风险控制、缓释或转移措施，包括但不限于以下内容：

（一）在外包服务实施过程中持续收集服务提供商相关信息，尽早发现可能导致服务中断的情况；

（二）与服务提供商事先约定在其服务质量不能满足合同要求的情况下获取其外包服务资源的优先权；

（三）要求服务提供商制定服务中断相关的应急处理预案，如提供备份人员；

（四）对于涉及重要业务的外包服务，银行业金融机构需考虑预先在其内部配臵相应的人力资源，掌握必要的技能，以在外包服务中断期间自行维持最低限度的服务能力。

第五十条

银行业金融机构应当针对重要外包服务中断的场景，拟定相应的应急计划，并定期进行演练，考虑因素包括但不限于以下内容：

（一）事件场景，如重要人员流失导致服务无法持续，服务提供商主动退出，因资质变更、被收购、兼并或破产等原因导致的服务提供商被动退出等；

（二）事件持续时间和恢复可能性；

（三）事件影响范围和可能的应急措施；

（四）服务提供商自行恢复服务的可能性和时间；

（五）备选的服务提供商以及外包服务迁移方案；

（六）外包服务过渡给银行业金融机构自行运作的可能性、时效及资源需求。

第五十一条

对于无法满足外包服务要求或发生重大事件的情况，银行业金融机构应当在充分评估其影响及制定退出计划的前提下，考虑主动要求服务提供商终止服务，情节特别严重的，可考虑取消准入资质，并报监管机构申请对其备案。对于关联外包，银行业金融机构不得因为关联关系而影响服务提供商退出机制的落实。

第五章 机构集中度风险管理

第五十二条

银行业金融机构应当依据服务提供商所承接外包服务的数量、金额在本行重要信息科技服务中的占比，服务提供商所承接外包服务在银行业服务市场占比情况，识别具有机构集中度特点的外包服务提供商。同时，还应识别服务提供商之间为集团子公司、关联公司或附属机构所产生的机构集中度风险。

第五十三条

银行业金融机构应当积极采用分散信息科技外包活动、提高自主研发运行能力等形式，降低机构集中度，减少对外包服务提供商的依赖。

第五十四条

银行业金融机构应当要求具有机构集中度特点的外包服务提供商提供充分的证据，证明其内部控制和管理能力、持续运营能力等。

第五十五条

银行业金融机构应当要求具有机构集中度特点的外包服务提供商为银行业金融机构配备相对独立的资源，包括服务团队、场地、系统、设备等；并对资源进行定期检查，确保资源及时到位。

第五十六条

银行业金融机构应当要求具有机构集中度特点的外包服务提供商在外包服务中断应急预案中，明确外包服务的优先级，并进行服务中断应急演练，服务提供商应当至少参与服务交接、敏感信息处臵等演练过程。

第五十七条

银行业金融机构应当特别加强对具有机构集中度特点的外包服务提供商的财务、内控、安全管理情况的持续监控，建立信息收集机制，及时掌握风险事件情况，防范外包服务意外终止或服务质量急剧下降对本机构产生大面积影响。

第五十八条

银行业金融机构应当对具有机构集中度特点的外包服务提供商增强监督频率与力度，必要时可指派专人进行现场监督。

第五十九条

对于具有机构集中度特点的外包服务提供商为同业托管机构的情况，银行业金融机构可参照本节内容对其进行外包管理。

第六章 跨境及非驻场外包管理

第一节 跨境外包风险管理

第六十条

跨境外包是指在境外其他国家或地区实施的信息科技外包服务活动。

第六十一条

跨境外包除具有本指引前述风险外，还包括由于某一国家或地区经济、政治、社会变化及事件而产生的国别风险，及由于外包实施场地远离银行业金融机构而产生的非驻场风险。

第六十二条

银行业金融机构应当充分了解并持续监控服务提供商所在国家或地区状况，通过建立业务连续性计划防范跨境外包所带来的国别风险。

第六十三条

银行业金融机构应当关注国外法律法规、监管要求对其获取服务提供商外包管理信息可能造成的影响。实施跨境外包应当以不妨碍银行业金融机构有效履行外包服务监控管理职能及监管机构延伸检查为前提。

第六十四条

银行业金融机构在选择跨境外包时，应当明确其所在国家或地区监管当局已与银监会签订谅解备忘录或双方认可的其他约定。

第六十五条

银行业金融机构在选择跨境外包时，还应当充分审查评估服务提供商保护客户信息的能力，并将其作为选择服务提供商的重要指标。涉及客户信息的跨境外包，应当在符合监管法规政策并获得客户授权的前提下开展。

第六十六条

银行业金融机构在实施跨境外包时，其合同应当包括法律选择和司法管辖权的约定，明确争议解决时所适用的法律及司法管辖权，原则上应当要求服务提供商依照中国的法律解决纠纷。

第二节 非驻场外包风险管理

第六十七条

非驻场外包是指服务提供商不在银行业金融机构现场提供服务的外包形式。由于银行业金融机构不能对其内部控制及风险管理措施进行直接管控，应当在信息安全、知识产权保护、质量监控、法律合规等方面加强对服务提供商的风险管理。

第六十八条

银行业金融机构应当建立针对非驻场外包服务的内部控制及风险管理要求的最低标准，该标准应当作为选择服务提供商的最低要求。

第六十九条

银行业金融机构应当对重要的非驻场外包服务进行实地检查。实地检查原则上一年不少于一次，检查结果作为外包服务提供商项目考核及准入的重要指标。

第七十条

银行业金融机构应当加强对外包服务提供商非驻场外包服务内部控制、质量管理、信息安全的有效性评估，评估结果作为供应商准入的重要依据。对于高风险的服务提供商，银行业金融机构应当责令其进行限期整改，对于逾期未改的服务提供商应当暂停或取消其服务资格。

第七十一条

对于非驻场外包服务提供商为同业托管机构的情况，银行业金融机构可以参照本节内容对其进行外包管理，但同业托管机构须将为其他同行业金融机构提供的信息科技外包服务视同自身信息科技服务的重要组成部分，不得区别对待，降低对自身提供外包服务的风险管控水平。

第七章 银行业重点外包服务机构风险管理要求

第七十二条

银行业重点外包服务机构是指集中为银行业金融机构提供外包服务，同时满足下述条件，如其外包服务失败可能导致银行业大面积数据损毁、丢失、泄露或信息系统服务中断，造成经济损失的机构，具体条件如下：

(一)承担集中存贮客户数据的业务交易系统外包服务；或承担银行业金融机构客户资料、交易数据等敏感信息的批量分析或处理服务；或承担银行业金融机构数据中心、灾备中心机房及基础设施外包服务；且上述服务均为非驻场外包服务。

(二)服务的法人银行业金融机构数量、服务合同金额占有本服务领域市场份额的三分之一以上；或服务的跨区域经营法人银行业金融机构数量达到3家或以上；或服务的其他类型法人银行业金融机构数量达到10家或以上。

第七十三条 银行业金融机构应当根据监管机构发布的银行业重点外包服务机构风险提示，按照如下要求进行管理：

(一)银行业重点外包服务机构应当是中华人民共和国境内注册的独立法人实体，注册资本和实收资本不少于1000万，注册成立时间不少于3年。

(二)银行业重点外包服务机构应当拥有健全的组织架构，并针对所提供的外包服务建立有效的风险治理架构，至少应当建立由公司高级管理层直接领导、针对银行业金融机构外包服务的、专职信息科技风险管理团队，为持续的外包服务提供保证。

(三)银行业重点外包服务机构应当建立与所承担的服务范围和规模相适应的服务管理体系，建立完善的信息安全、服务质量、服务持续性等管理制度体系，拥有有效的检查、监控和考核机制，确保管理规范有效执行。

(四)银行业重点外包服务机构应当具有足够的技术能力、人力资源和设施、环境，满足外包服务的质量和安全管理要求。银行业重点外包服务机构承担的银行业金融机构外包服务场地应当设臵在中国境内。第七十四条

银行业金融机构应当要求银行业重点外包服务机构具有如下相关领域资质认证:(一)具有完善的信息安全管理体系、业务连续性管理体系，并通过业界公认较为权威的信息安全管理和业务连续性管理资质认证。

(二)具有完善的质量管理体系，并通过业界公认较为权威的质量管理资质认证。

(三)承担银行业金融机构数据中心、灾备中心机房及基础设施外包服务的银行业重点外包服务机构，其机房及基础设施应当达到国家电子计算机机房最高标准。

(四)承担集中存贮客户数据的业务交易系统外包服务，或承担银行业金融机构客户资料、交易数据等敏感信息的批量分析或处理服务的银行业重点外包服务机构，应当具有完善的运行服务管理体系，并通过业界公认较为权威的运行服务管理资质认证。

第七十五条

银行业金融机构应当在风险管理、审计方面对银行业重点外包服务机构提出如下要求：

(一)银行业重点外包服务机构应当具有信息科技风险的管理体系，有效识别、监测、评估和控制风险。银行业重点外包服务机构应当至少每季度向所服务的银行业金融机构报送外包风险监控报告，针对监控发现的潜在风险或风险事件，及时采取控制或缓释措施。

(二)银行业重点外包服务机构应当每年聘请独立的审计机构,对自身外包服务进行风险评估,风险评估报告需报送所服务的银行业金融机构，并抄送银监会或其派出机构。

(三)银行业重点外包服务机构应当对其外包服务团队成员进行背景调查，确保其过往无不良记录，且应当与项目成员签订保密协议，并保留至少10年的法律追诉期。

第八章 监督管理

第七十六条

银行业金融机构开展以下信息科技外包服务时,应当在外包合同签订前二十个工作日向银监会或其派出机构报告，针对银行业金融机构信息科技外包风险，银监会及其派出机构可以采取风险提示、约见谈话、监管质询等措施。

（一）信息科技工作整体外包；

（二）数据中心或灾备中心整体外包；

（三）涉及将银行业金融机构客户资料、交易数据等敏感信息交由服务提供商进行分析或处理的信息科技外包；

（四）以非驻场形式实施的、集中存贮客户数据的业务交易系统外包；

（五）关联外包；

（六）涉及跨境的信息科技外包；

（七）其他银监会认为重要的信息科技外包。

第七十七条

银行业金融机构信息科技外包活动中发生如下重大事件时，应当在两个工作日内向银监会或其派出机构报告。

（一）银行业金融机构客户信息等敏感数据泄露；

（二）数据损毁或者重要业务运营中断；

（三）由于不可抗力或服务提供商重大经营、财务问题，导致或可能导致多家银行业金融机构外包服务中断;

（四）其他重大的服务提供商违法违规事件；

（五）银监会规定需要报告的其他重大事件。

第七十八条

银行业金融机构在开展外包风险管理评估工作后，应当将风险评估报告报送银监会或其派出机构。

第七十九条

银监会及其派出机构对银行业金融机构信息科技外包工作进行监督和检查，监督检查结果纳入对银行业金融机构的监管评级。

第八十条

对于风险较高的信息科技外包服务，银监会或其派出机构可以要求银行业金融机构暂缓、中止该类外包服务，直至银行业金融机构、外包服务提供商有效改正。

第八十一条

银行业金融机构违反本指引规定的，银监会或其派出机构可要求其纠正或采取替代方案，并视情况予以问责。因管理过失导致外包活动严重危及银行业金融机构稳健运行、损害存款人和其他客户合法权益的，依法追究银行业金融机构管理责任。

第八十二条

银监会实行银行业信息科技外包服务活动风险监测机制，定期对银行业金融机构发布银行业重点外包服务机构名单和风险提示，防范因高机构集中度外包服务导致的系统性、区域性信息科技风险。第八十三条

银监会应当对具有机构集中度特点的银行业金融机构信息科技外包服务进行重点风险监测、评估，根据需要，可以要求银行业金融机构与重点外包服务机构会谈，就其外包服务活动和风险的重大事项作出说明。

第八十四条

银监会应当组织银行业金融机构实地核查银行业重点外包服务机构承担的银行业金融机构信息科技服务活动，原则上每两年进行一次，也可以委托其他第三方机构审计的形式实施。

第八十五条

银监会可以根据银行业金融机构信息科技服务活动风险评估和实地核查结果，对银行业金融机构发出监管提示，要求其督促银行业重点外包服务机构对风险问题实施整改。

第八十六条

银行业重点外包服务机构应当配合银行业金融机构及银监会的风险监测和实地核查。

第八十七条

银监会组织相关银行业金融机构对银行业信息科技外包服务提供商建立服务管理记录，并对其进行风险评估和评级。

第八十八条

服务提供商在外包服务中存在以下情形的，银监会定期向银行业发布服务提供商风险预警，公布机构名单、服务信息等，要求银行业金融机构禁止相关服务提供商承担银行业信息科技外包服务，禁止期至少为两年。外包服务提供商两年内仍未整改的，延长其禁止期。

（一）违反国家法律、法规和监管政策，情节严重的；

（二）窃取、泄露银行业金融机构敏感信息，情节严重的；

（三）因管理过失，多次发生重要信息系统服务中断或数据损毁、丢失、泄露事件的；

（四）服务质量低下并给多家银行业金融机构造成损失，多次提示仍未整改的；

（五）对风险监测和实地检查发现的问题，逾期仍未整改的；

（六）存在其他违法违规行为，或发生其他重大信息科技风险事件的。

第八十九条

银监会负责监督银行业金融机构对信息科技外包服务提供商实施准入管理。对于存在重大风险的外包活动，银行业金融机构应当立即评估外包的适当性，对信息科技外包服务提供商进行风险预警提示，要求其进行整改并设定期限；逾期未整改的，禁止其承担信息科技外包服务。

第九章 附则

第九十条

本指引由银监会负责解释、修订。第九十一条

本指引自公布之日起施行。

第五篇：银行业信息科技风险监管现场检查手册

前 言

信息科技已经成为银行业金融机构实现经营战略和业务运营的基础平台以及金融创新的 重要手段。银行业对信息科技的高度依赖，决定了信息系统的安全性、可靠性和有效性对维 系整个银行业的安全和金融体系的稳定具有至关重要的作用。

银监会党委对信息科技风险监管工作高度重视，刘明康主席多次召开专项工作会议并做 出重要批示和指示，明确要求着力推进信息科技风险监管。银监会坚持贯彻“管法人、管风险、管内控、提高透明度”的监管理念，把信息科技风险纳入银行总体风险监管框架，切实加强制 度建设和风险监控，确保银行业信息系统安全稳定。

在目前信息技术革新日新月异、金融业务不断创新、银行对信息科技依赖性越来越大的 新形势下，银监会坚持“风险为本”的监管原则，提出了信息科技风险功能性监管的新思路，突出“制度先行”，完善监管框架，借鉴和吸收国际先进标准及业界最佳实践，不断丰富信息 科技风险监管方式方法，制定了一系列的监管规范，结合奥运保障开展现场检查，并针对性 地发出有关风险提示，建立非现场监管体系和监管评级体系，从而构建了信息科技风险监管 的基础框架，全面展开信息科技风险的监管工作。

按照郭利根副主席提出的“集成资源，形成信息科技风险监管合力”和“搞好规划，全面加 强信息科技风险监管制度建设”要求，银监会强化机制建设、优化资源配置，整合科技人力资 源，集中全国银监会系统科技骨干力量，在北京成立了信息科技监管“专项工作组”，又在上 海、深圳两地分别成立信息科技风险监管工作室，按照统一调度、统一指挥、统一培训的工 作原则，制度建设、奥运保障、现场检查、非现场监管及监管评级五线并举，形成了矩阵式 的监管工作模式，快速锻炼了一支能战会战、能够担当重任的信息科技风险专业化监管队伍。

《手册》的编写得到了各方的大力支持。上海、湖北、安徽、山东、山西、江苏、江西、河南、内蒙古、黑龙江、青岛、福建、河北、宁夏、辽宁、吉林、浙江、四川、深圳、广东、天津、重庆、大连、云南、贵州银监局派出精锐技术骨干，参加《手册》编写工作；银监会 各部门与各银监局提出了许多宝贵意见；上海银监局为编写工作提供了大量支持和保障工作。整个《手册》内容融合了银监系统内信息科技人员的经验和智慧，汇聚了银监会各部门与各 银监局的宝贵意见和建议，应属于银监会系统及科技人员共同努力的成果和结晶。在此，向 所有参与工作的单位和个人致以诚挚的谢意！

编写人员

林 丽 朱永扬 怿卫飞 李 丹 骆絮飞 邹 伟 房世晖

崔维琪 朱 斌 冯业伟 叶 照 乔昱瑞 纪奀 武 齐兴利

吴瑞麟 陈宏宇

谭 杨 李 鹏 张 伟 周嘉弘 史文明 李海波

张惠芳 郝海峰 何 禹 包 龙

李晓东 杨中华 靖雪晶 殷有超 陆 阳 崔 晨 怿美东

陆 翔 盛于南 怿殿南

陈云龙

游 琨

刘 楠

目 录

第一部分 概述.............................................2

1.银行信息科技风险及其监管...............................2

1.1 银行信息科技风险................................................................2 1.2 银行信息科技风险特点............................................................2

1.3 风险成因分析....................................................................3

1.4 信息科技风险监管意义............................................................4 2.现场检查一般流程.......................................5

2.1 现场检查准备阶段................................................................5 2.2 现场检查实施阶段................................................................7

2.3 现场检查后续阶段................................................................8 3.常用检查方法...........................................9 第二部分 科技管理.......................................11 4.科技治理..............................................11

4.1 董事会及高管层.................................................................11 检查项 1 ：董事会和高级管理层............................................................................................11

4.2 信息科技工作的管理机构.........................................................12

检查项 1 ：全行信息科技工作的管理机构.............................................................................12

4.3 信息科技部门...................................................................13

检查项 1 ：信息科技部门.......................................................................................................13

4.4 信息科技战略规划...............................................................15

检查项 1 ：信息科技战略规划................................................................................................15

4.5 信息科技风险管理部门...........................................................15

检查项 1 ：信息科技风险管理部门........................................................................................15

4.6 信息科技风险审计...............................................................16

检查项 1 ：信息科技风险审计机制........................................................................................16

4.7 知识产权保护...................................................................17

检查项 1 ：敉识产权制度.......................................................................................................17

4.8 信息披露.......................................................................17

检查项 1 ：信息披露..............................................................................................................17 5.连续性管理............................................18

5.1 信息系统连续性组织.............................................................18 检查项 1：系统连续性管理组织..............................................................................................18 检查项 2：系统连续性管理组织职责......................................................................................19 检查项 3：系统连续性计划编制、维护...................................................................................20 检查项 4：系统连续性计划编制、维护职责...........................................................................20 检查项 5：系统连续性计划执行组织......................................................................................20 检查项 6：系统连续性计划执行组织职责...............................................................................21 检查项 7：人员变动管理.........................................................................................................22 5.2 信息系统连续性计划.............................................................22 检查项 1：系统连续性计划.....................................................................................................22 检查项 2：测试及持续更新.....................................................................................................24 检查项 3：信息系统连续性计划管理......................................................................................25 检查项 4：系统连续性计划培训..............................................................................................25 检查项 5：系统连续性计划审计..............................................................................................25 6.应急管理..............................................26

6.1 应急组织.......................................................................26 检查项 1：应急管理团队.........................................................................................................26 检查项 2：应急管理职责.........................................................................................................27 检查项 3：应急管理制度.........................................................................................................27 6.2 应急预案.......................................................................27

检查项 1：应急预案制订.........................................................................................................27

检查项 2：应急预案内容.........................................................................................................28

检查项 3：应急预案更新.........................................................................................................29 检查项 4：外包服务应急.........................................................................................................29 检查项 5：应急培训................................................................................................................29 6.3 应急演练.......................................................................30 检查项 1：应急演练前............................................................................................................30 检查项 2：应急演练过程.........................................................................................................30 检查项 3：应急演练后............................................................................................................30 6.4 应急响应.......................................................................31 检查项 1：应急响应流程.........................................................................................................31 检查项 3：应急事件报告.........................................................................................................32 检查项 4：与第三方沟通.........................................................................................................32 检查项 5 ：向新闻媒体通报制度............................................................................................32 检查项 6：应急处置总结.........................................................................................................33 6.5 应急保障.......................................................................33 检查项 1：人员保障................................................................................................................33 检查项 2：物质保障................................................................................................................33 检查项 3：技术保障................................................................................................................34 检查项 4：沟通保障................................................................................................................34 6.6 持续改进.......................................................................34 检查项 1：应急事件评估、改进..............................................................................................34 检查项 2：应急响应评估.........................................................................................................35 检查项 3：应急管理评估.........................................................................................................35 检查项 4：纳入全面风险管理机制..........................................................................................35 7.信息系统安全管理......................................35

7.1 安全管理组织...................................................................36 检查项 1：管理目标................................................................................................................36

检查项 2：人员风险................................................................................................................36

7.2 安全管理制度...................................................................37 检查项 1：规章制度................................................................................................................37 检查项 2：制度合规................................................................................................................38 查项 3：制度执行....................................................................................................................38 检查项 4：宣传和教育培训.....................................................................................................39 检查项 5：事件响应和处理.....................................................................................................39 8.外包管理..............................................40

8.1 服务外包管理制度...............................................................40 检查项 1：服务外包管理制度.................................................................................................40 检查项 2：对重要外包项目评估..............................................................................................41 检查项 3：外包安全保密措施.................................................................................................41 8.2 服务外包管理风险评估...........................................................41 检查项 1：对服务外包商评估.................................................................................................41 检查项 2：对服务外包商审查.................................................................................................42 8.3 服务外包审批...................................................................42

检查项 1：服务外包审批流程.................................................................................................42

8.4 服务外包应急响应...............................................................42 检查项 1：服务外包应急计划.................................................................................................42 检查项 2：服务外包商联络机制..............................................................................................43 检查项 3：服务外包应急演练.................................................................................................43 8.5 外包合同.......................................................................43 检查项 1：外包合同................................................................................................................43 检查项 2：服务外包商访问权限..............................................................................................44 检查项 3：外包服务法律风险.................................................................................................44 8.6 服务外包文档的完备性...........................................................45

检查项 1：服务外包文档.........................................................................................................45