中国银监会关于印发银行业金融机构全面风险管理指引的通知

第一篇：中国银监会关于印发银行业金融机构全面风险管理指引的通知

中国银监会关于印发银行业金融机构全面风险管理指引的通知

银监发〔2016〕44号

各银监局，各政策性银行、大型银行、股份制银行，邮储银行，外资银行，金融资产管理公司，其他会管金融机构：

现将《银行业金融机构全面风险管理指引》印发给你们，请遵照执行。

2016年9月27日

（此件发至银监分局与地方法人银行业金融机构）

银行业金融机构全面风险管理指引

第一章 总则

第一条 为提高银行业金融机构全面风险管理水平，促进银行业体系安全稳健运行，根据《中华人民共和国银行业监督管理法》、《中华人民共和国商业银行法》等法律法规，制定本指引。

第二条 本指引适用于在中华人民共和国境内依法设立的银行业金融机构。

本指引所称银行业金融机构，是指在中华人民共和国境内设立的商业银行、农村信用合作社等吸收公众存款的金融机构、政策性银行以及国家开发银行。

第三条 银行业金融机构应当建立全面风险管理体系，采取定性和定量相结合的方法，识别、计量、评估、监测、报告、控制或缓释所承担的各类风险。

各类风险包括信用风险、市场风险、流动性风险、操作风险、国别风险、银行账户利率风险、声誉风险、战略风险、信息科技风险以及其他风险。

银行业金融机构的全面风险管理体系应当考虑风险之间的关联性，审慎评估各类风险之间的相互影响，防范跨境、跨业风险。

第四条 银行业金融机构全面风险管理应当遵循以下基本原则：

（一）匹配性原则。全面风险管理体系应当与风险状况和系统重要性等相适应，并根据环境变化进行调整。

（二）全覆盖原则。全面风险管理应当覆盖各个业务条线，包括本外币、表内外、境内外业务；覆盖所有分支机构、附属机构，部门、岗位和人员；覆盖所有风险种类和不同风险之间的相互影响；贯穿决策、执行和监督全部管理环节。

（三）独立性原则。银行业金融机构应当建立独立的全面风险管理组织架构，赋予风险管理条线足够的授权、人力资源及其他资源配臵，建立科学合理的报告渠道，与业务条线之间形成相互制衡的运行机制。

（四）有效性原则。银行业金融机构应当将全面风险管理的结果应用于经营管理，根据风险状况、市场和宏观经济情况评估资本和流动性的充足性，有效抵御所承担的总体风险和各类风险。

第五条 银行业金融机构全面风险管理体系应当包括但不限于以下要素：

（一）风险治理架构；

（二）风险管理策略、风险偏好和风险限额；

（三）风险管理政策和程序；

（四）管理信息系统和数据质量控制机制；

（五）内部控制和审计体系。

第六条 银行业金融机构应当推行稳健的风险文化，形成与本机构相适应的风险管理理念、价值准则、职业操守，建立培训、传达和监督机制，推动全体工作人员理解和执行。

第七条 银行业金融机构应当承担全面风险管理的主体责任，建立全面风险管理制度，保障制度执行，对全面风险管理体系进行自我评估，健全自我约束机制。

第八条 银行业监督管理机构依法对银行业金融机构全面风险管理实施监管。

第九条 银行业金融机构应当按照银行业监督管理机构的规定，向公众披露全面风险管理情况。

第二章 风险治理架构

第十条 银行业金融机构应当建立组织架构健全、职责边界清晰的风险治理架构，明确董事会、监事会、高级管理层、业务部门、风险管理部门和内审部门在风险管理中的职责分工，建立多层次、相互衔接、有效制衡的运行机制。

第十一条 银行业金融机构董事会承担全面风险管理的最终责任，履行以下职责：

（一）建立风险文化；

（二）制定风险管理策略；

（三）设定风险偏好和确保风险限额的设立；

（四）审批重大风险管理政策和程序；

（五）监督高级管理层开展全面风险管理；

（六）审议全面风险管理报告；

（七）审批全面风险和各类重要风险的信息披露；

（八）聘任风险总监（首席风险官）或其他高级管理人员，牵头负责全面风险管理；

（九）其他与风险管理有关的职责。

董事会可以授权其下设的风险管理委员会履行其全面风险管理的部分职责。

第十二条 银行业金融机构应当建立风险管理委员会与董事会下设的战略委员会、审计委员会、提名委员会等其他专门委员会的沟通机制，确保信息充分共享并能够支持风险管理相关决策。

第十三条 银行业金融机构监事会承担全面风险管理的监督责任，负责监督检查董事会和高级管理层在风险管理方面的履职尽责情况并督促整改。相关监督检查情况应当纳入监事会工作报告。

第十四条 银行业金融机构高级管理层承担全面风险管理的实施责任，执行董事会的决议，履行以下职责：

（一）建立适应全面风险管理的经营管理架构，明确全面风险管理职能部门、业务部门以及其他部门在风险管理中的职责分工，建立部门之间相互协调、有效制衡的运行机制；

（二）制定清晰的执行和问责机制，确保风险管理策略、风险偏好和风险限额得到充分传达和有效实施；

（三）根据董事会设定的风险偏好，制定风险限额，包括但不限于行业、区域、客户、产品等维度；

（四）制定风险管理政策和程序，定期评估，必要时予以调整；

（五）评估全面风险和各类重要风险管理状况并向董事会报告；

（六）建立完备的管理信息系统和数据质量控制机制；

（七）对突破风险偏好、风险限额以及违反风险管理政策和程序的情况进行监督，根据董事会的授权进行处理；

（八）风险管理的其他职责。

第十五条 规模较大或业务复杂的银行业金融机构应当设立风险总监（首席风险官）。董事会应当将风险总监（首席风险官）纳入高级管理人员。风险总监（首席风险官）或其他牵头负责全面风险管理的高级管理人员应当保持充分的独立性，独立于操作和经营条线，可以直接向董事会报告全面风险管理情况。

调整风险总监（首席风险官）应当事先得到董事会批准，并公开披露。银行业金融机构应当向银行业监督管理机构报告调整风险总监（首席风险官）的原因。

第十六条 银行业金融机构应当确定业务条线承担风险管理的直接责任；风险管理条线承担制定政策和流程，监测和管理风险的责任；内审部门承担业务部门和风险管理部门履职情况的审计责任。

第十七条 银行业金融机构应当设立或者指定部门负责全面风险管理，牵头履行全面风险的日常管理，包括但不限于以下职责：

（一）实施全面风险管理体系建设；

（二）牵头协调识别、计量、评估、监测、控制或缓释全面风险和各类重要风险，及时向高级管理人员报告；

（三）持续监控风险管理策略、风险偏好、风险限额及风险管理政策和程序的执行情况，对突破风险偏好、风险限额以及违反风险管理政策和程序的情况及时预警、报告并提出处理建议；

（四）组织开展风险评估，及时发现风险隐患和管理漏洞，持续提高风险管理的有效性。

第十八条 银行业金融机构应当采取必要措施，保证全面风险管理的政策流程在基层分支机构得到理解与执行，建立与基层分支机构风险状况相匹配的风险管理架构。

在境外设有机构的银行业金融机构应当建立适当的境外风险管理框架、政策和流程。

第十九条 银行业金融机构应当赋予全面风险管理职能部门和各类风险管理部门充足的资源、独立性、授权，保证其能够及时获得风险管理所需的数据和信息，满足履行风险管理职责的需要。

第三章 风险管理策略、风险偏好和风险限额

第二十条 银行业金融机构应当制定清晰的风险管理策略，至少每年评估一次其有效性。风险管理策略应当反映风险偏好、风险状况以及市场和宏观经济变化，并在银行内部得到充分传导。

第二十一条 银行业金融机构应当制定书面的风险偏好，做到定性指标和定量指标并重。风险偏好的设定应当与战略目标、经营计划、资本规划、绩效考评和薪酬机制衔接，在机构内传达并执行。

银行业金融机构应当每年对风险偏好至少进行一次评估。

第二十二条 银行业金融机构制定的风险偏好，应当包括但不限于以下内容：

（一）战略目标和经营计划的制定依据，风险偏好与战略目标、经营计划的关联性；

（二）为实现战略目标和经营计划愿意承担的风险总量；

（三）愿意承担的各类风险的最大水平；

（四）风险偏好的定量指标，包括利润、风险、资本、流动性以及其他相关指标的目标值或目标区间。上述定量指标通过风险限额、经营计划、绩效考评等方式传导至业务条线、分支机构、附属机构的安排；

（五）对不能定量的风险偏好的定性描述，包括承担此类风险的原因、采取的管理措施；

（六）资本、流动性抵御总体风险和各类风险的水平；

（七）可能导致偏离风险偏好目标的情形和处臵方法。

银行业金融机构应当在书面的风险偏好中明确董事会、高级管理层和首席风险官、业务条线、风险部门在制定和实施风险偏好过程中的职责。

第二十三条 银行业金融机构应当建立监测分析各业务条线、分支机构、附属机构执行风险偏好的机制。

当风险偏好目标被突破时，应当及时分析原因，制定解决方案并实施。

第二十四条 银行业金融机构应当建立风险偏好的调整制度。根据业务规模、复杂程度、风险状况的变化，对风险偏好进行调整。

第二十五条 银行业金融机构应当制定风险限额管理的政策和程序，建立风险限额设定、限额调整、超限额报告和处理制度。

银行业金融机构应当根据风险偏好，按照客户、行业、区域、产品等维度设定风险限额。风险限额应当综合考虑资本、风险集中度、流动性、交易目的等。

全面风险管理职能部门应当对风险限额进行监控，并向董事会或高级管理层报送风险限额使用情况。

风险限额临近监管指标限额时，银行业金融机构应当启动相应的纠正措施和报告程序，采取必要的风险分散措施，并向银行业监督管理机构报告。

第四章 风险管理政策和程序

第二十六条 银行业金融机构应当制定风险管理政策和程序，包括但不限于以下内容：

（一）全面风险管理的方法，包括各类风险的识别、计量、评估、监测、报告、控制或缓释，风险加总的方法和程序；

（二）风险定性管理和定量管理的方法；

（三）风险管理报告；

（四）压力测试安排；

（五）新产品、重大业务和机构变更的风险评估；

（六）资本和流动性充足情况评估；

（七）应急计划和恢复计划。

第二十七条 银行业金融机构应当在集团和法人层面对各附属机构、分支机构、业务条线，对表内和表外、境内和境外、本币和外币业务涉及的各类风险，进行识别、计量、评估、监测、报告、控制或缓释。

银行业金融机构应当制定每项业务对应的风险管理政策和程序。未制定的，不得开展该项业务。

银行业金融机构应当有效评估和管理各类风险。对能够量化的风险，应当通过风险计量技术，加强对相关风险的计量、控制、缓释；对难以量化的风险，应当建立风险识别、评估、控制和报告机制，确保相关风险得到有效管理。

第二十八条 银行业金融机构应当建立风险统一集中管理的制度，确保全面风险管理对各类风险管理的统领性、各类风险管理与全面风险管理政策和程序的一致性。

第二十九条 银行业金融机构应当建立风险加总的政策、程序，选取合理可行的加总方法，充分考虑集中度风险及风险之间的相互影响和相互传染，确保在不同层次上和总体上及时识别风险。

第三十条 银行业金融机构采用内部模型计量风险的，应当遵守相关监管要求，确保风险计量的一致性、客观性和准确性。董事会和高级管理层应当理解模型结果的局限性、不确定性和模型使用的固有风险。

第三十一条 银行业金融机构应当建立全面风险管理报告制度，明确报告的内容、频率和路线。

报告内容至少包括总体风险和各类风险的整体状况；风险管理策略、风险偏好和风险限额的执行情况；风险在行业、地区、客户、产品等维度的分布；资本和流动性抵御风险的能力。

第三十二条 银行业金融机构应当建立压力测试体系，明确压力测试的治理结构、政策文档、方法流程、情景设计、保障支持、验证评估以及压力测试结果运用。银行业金融机构应当定期开展压力测试。压力测试的开展应当覆盖各类风险和表内外主要业务领域，并考虑各类风险之间的相互影响。

压力测试结果应当运用于银行业金融机构的风险管理和各项经营管理决策中。

第三十三条 银行业金融机构应当建立专门的政策和流程，评估开发新产品、对现有产品进行重大改动、拓展新的业务领域、设立新机构、从事重大收购和投资等可能带来的风险，并建立内部审批流程和退出安排。银行业金融机构开展上述活动时，应当经风险管理部门审查同意，并经董事会或董事会指定的专门委员会批准。

第三十四条 银行业金融机构应当根据风险偏好和风险状况及时评估资本和流动性的充足情况，确保资本、流动性能够抵御风险。

第三十五条 银行业金融机构应当制定应急计划，确保能够及时应对和处理紧急或危机情况。应急计划应当说明可能出现的风险以及在压力情况（包括会严重威胁银行生存能力的压力情景）下应当采取的措施。银行业金融机构的应急计划应当涵盖对境外分支机构和附属机构的应急安排。银行业金融机构应当定期更新、演练或测试上述计划，确保其充分性和可行性。

第三十六条 银行业金融机构应当按照相关监管要求，根据风险状况和系统重要性，制定并定期更新完善本机构的恢复计划，明确本机构在压力情况下能够继续提供持续稳定运营的各项关键性金融服务并恢复正常运营的行动方案。

第三十七条 银行业金融机构应当制定覆盖其附属机构的风险管理政策和程序，保持风险管理的一致性、有效性。银行业金融机构应当要求并确保各附属机构在整体风险偏好和风险管理政策框架下，建立自身的风险管理组织架构、政策流程，促进全面风险管理的一致性和有效性。

银行业金融机构应当建立健全风险隔离制度，规范内部交易，防止风险传染。

第三十八条 银行业金融机构应当制定外包风险管理制度，确定与其风险管理水平相适应的外包活动范围。

第三十九条 银行业金融机构应当将风险管理策略、风险偏好、风险限额、风险管理政策和程序等要素与资本管理、业务管理相结合，在战略和经营计划制定、新产品审批、内部定价、绩效考评和薪酬激励等日常经营管理中充分应用并有效实施。

第四十条 银行业金融机构应当对风险管理策略、风险偏好、风险限额、风险管理政策和程序建立规范的文档记录。

第五章 管理信息系统和数据质量

第四十一条 银行业金融机构应当具备完善的风险管理信息系统，能够在集团和法人层面计量、评估、展示、报告所有风险类别、产品和交易对手风险暴露的规模和构成。

第四十二条 银行业金融机构相关风险管理信息系统应当具备以下主要功能，支持风险报告和管理决策的需要：

（一）支持识别、计量、评估、监测和报告所有类别的重要风险；

（二）支持风险限额管理，对超出风险限额的情况进行实时监测、预警和控制；

（三）能够计量、评估和报告所有风险类别、产品和交易对手的风险状况，满足全面风险管理需要；

（四）支持按照业务条线、机构、资产类型、行业、地区、集中度等多个维度展示和报告风险暴露情况；

（五）支持不同频率的定期报告和压力情况下的数据加工和风险加总需求；

（六）支持压力测试工作，评估各种不利情景对银行业金融机构及主要业务条线的影响。

第四十三条 银行业金融机构应当建立与业务规模、风险状况等相匹配的信息科技基础设施。

第四十四条 银行业金融机构应当建立健全数据质量控制机制，积累真实、准确、连续、完整的内部和外部数据，用于风险识别、计量、评估、监测、报告，以及资本和流动性充足情况的评估。

第六章 内部控制和审计

第四十五条 银行业金融机构应当合理确定各项业务活动和管理活动的风险控制点，采取适当的控制措施，执行标准统一的业务流程和管理流程，确保规范运作。

第四十六条 银行业金融机构应当将全面风险管理纳入内部审计范畴，定期审查和评价全面风险管理的充分性和有效性。

银行业金融机构内部审计活动应独立于业务经营、风险管理和合规管理，遵循独立性、客观性原则，不断提升内部审计人员的专业能力和职业操守。

全面风险管理的内部审计报告应当直接提交董事会和监事会。董事会应当针对内部审计发现的问题，督促高级管理层及时采取整改措施。内部审计部门应当跟踪检查整改措施的实施情况，并及时向董事会提交有关报告。

第七章 监督管理

第四十七条 银行业金融机构应当将风险管理策略、风险偏好、重大风险管理政策和程序等报送银行业监督管理机构，并至少按年度报送全面风险管理报告。

第四十八条 银行业监督管理机构应当将银行业金融机构全面风险管理纳入法人监管体系中，并根据本指引全面评估银行业金融机构风险管理体系的健全性和有效性，提出监管意见，督促银行业金融机构持续加以完善。

第四十九条 银行业监督管理机构通过非现场监管和现场检查等实施对银行业金融机构全面风险管理的持续监管，具体方式包括但不限于监管评级、风险提示、现场检查、监管通报、监管会谈、与内外部审计师会谈等。

第五十条 银行业监督管理机构应当就全面风险管理情况与银行业金融机构董事会、监事会、高级管理层等进行充分沟通，并视情况在银行业金融机构董事会、监事会会议上通报。

第五十一条 对不能满足本指引及其他规范性文件中关于全面风险管理要求的银行业金融机构，银行业监督管理机构可以要求其制定整改方案，责令限期改正，并视情况采取相应的监管措施。

第八章 附则

第五十二条 各类具体风险的监管要求按照银行业监督管理机构的有关规定执行。

第五十三条 经银行业监督管理机构批准设立的其他金融机构参照本指引执行。

第五十四条 本指引自2016年11月1日起施行。本指引实施前已有规范性文件如与本指引不一致的，按照本指引执行。

第二篇：银行业金融机构全面风险管理指引

中国银监会关于《银行业金融机构全面风险管理指引（征求意见稿）》公开征求意见的公告

为进一步引导银行业金融机构树立全面风险管理意识，完善全面风险管理体系，持续提高风险管理水平，中国银监会起草了《银行业金融机构全面风险管理指引（征求意见稿）》，现向社会公开征求意见。公众可以通过以下途径反馈意见：

一、通过电子邮件。

二、通过传真。

三、通过信函方式将意见寄至：北京市西城区金融大街甲15号中国银监会审慎规制局（邮编：100140），并请在信封上注明“全面风险管理征求意见”字样。

意见反馈截止时间为2016年8月6日。[1]

中国银监会

2016年7月6日

银行业金融机构全面风险管理指引[1]（征求意见稿）

第一章 总则

第一条（立法依据）为提高银行业金融机构全面风险管理水平，促进银行体系安全稳健运行，根据《中华人民共和国银行业监督管理法》、《中华人民共和国商业银行法》等法律法规，制定本指引。

第二条（适用范围）本指引适用于在中华人民共和国境内依法设立的银行业金融机构。本指引所称银行业金融机构，是指在中华人民共和国境内设立的商业银行、城市信用合作社、农村信用合作社等吸收公众存款的金融机构以及开发性金融机构、政策性银行。

第三条（总体要求-管理内容）银行业金融机构应当建立全面风险管理体系，采取定性和定量相结合的方法，识别、计量、评估、监测、报告、控制或缓释所承担的各类风险。

各类风险包括信用风险、市场风险、流动性风险、操作风险、国别风险、银行账户利率风险、声誉风险、战略风险、信息科技风险以及其他风险。

银行业金融机构的全面风险管理体系应当考虑风险之间的关联性，审慎评估各类风险之间的相互影响，防范跨境、跨业风险。

第四条（总体要求-管理原则）银行业金融机构全面风险管理应当遵循以下基本原则：

（一）匹配性原则。全面风险管理体系应当与风险状况和系统重要性等相适应，并根据环境变化予以调整。

（二）全覆盖原则。全面风险管理应当覆盖各项业务条线，本外币、表内外、境内外业务；覆盖所有分支机构、附属机构，部门、岗位和人员；覆盖所有风险种类和不同风险之间的相互影响；贯穿决策、执行和监督全部管理环节。

（三）独立性原则。银行业金融机构应当建立独立的全面风险管理组织架构，赋予风险管理条线足够的授权、人力资源及其他资源配置，建立科学合理的报告渠道，与业务条线之间形成相互制衡的运行机制。

（四）有效性原则。银行业金融机构应当将全面风险管理的结果应用于经营管理，根据风险状况、市场和宏观经济情况评估资本和流动性的充足性，有效抵御所承担的总体风险和各类风险。第五条（全面风险管理要素）银行业金融机构全面风险管理体系应当包括但不限于以下要素：

（一）风险治理架构；

（二）风险管理策略、风险偏好和风险限额；

（三）风险管理政策和程序；

（四）管理信息系统和数据质量控制机制；

（五）内部控制和审计体系。

第六条（风险文化）银行业金融机构应当在全行层面推行稳健的风险文化，形成与本行相适应的风险管理理念、价值准则、职业操守，建立培训、传达和监督机制，推动全行人员理解和执行。

第七条（责任主体）银行业金融机构应当承担全面风险管理的主体责任，建立全面风险管理制度，保障制度执行，对全面风险管理体系自我评估，健全自我约束机制。

第八条（监督管理）银行业监督管理机构依法对银行业金融机构全面风险管理实施监管。

第九条（披露要求）银行业金融机构应当按照银行业监督管理机构的规定，向公众披露全面风险管理情况。

第二章 风险治理架构

第十条（总体要求）银行业金融机构应当建立组织架构健全、职责边界清晰的风险治理架构，明确董事会、监事会、高级管理层，业务部门、风险管理部门和内审部门在风险管理中的职责分工，建立多层次、相互衔接、有效制衡的运行机制。

第十一条（董事会职责）银行业金融机构董事会承担全面风险管理的最终责任，履行以下职责：

（一）建立风险文化；

（二）制定风险管理策略；

（三）设定的风险偏好和风险限额；

（四）审批风险管理政策和程序；

（五）监督高级管理层开展全面风险管理；

（六）审议全面风险管理报告；

（七）审批全面风险和各类重要风险的信息披露；

（八）聘任风险总监（首席风险官）或其他高级管理人员，牵头负责全面风险管理；

（九）其他与风险管理有关的职责。

董事会可以授权其下设的风险管理委员会履行其全面风险管理的部分职责。第十二条（委员会间的沟通机制）银行业金融机构应当建立风险管理委员会与董事会下设的战略委员会、审计委员会、提名委员会等其他专门委员会的沟通机制，确保信息充分共享并能够支持风险管理相关决策。

第十三条（监事会职责）银行业金融机构监事会承担全面风险管理的监督责任，负责监督检查董事会和高级管理层在风险管理方面的履职尽责情况并督促整改。相关监督检查情况应当纳入监事会工作报告。第十四条（高级管理层职责）银行业金融机构高级管理层承担全面风险管理的实施责任，执行董事会的决议，应当履行以下职责：

（一）建立适应全面风险管理的经营管理架构，明确全面风险管理职能部门、业务部门以及其他部门在风险管理中的职责分工，建立部门之间有效制衡、相互协调的运行机制；

（二）制定清晰的执行和问责机制，确保风险偏好、风险管理策略和风险限额得到充分传达和有效实施；

（三）对董事会设定的风险限额进行细化并执行，包括但不限于行业、区域、客户、产品等维度；

（四）制定风险管理政策和程序，定期评估，必要时调整；

（五）评估全面风险和各类重要风险管理状况并向董事会报告；

（六）建立完备的管理信息系统和数据质量控制机制；

（七）对突破风险偏好、风险限额以及违反风险管理政策和程序的情况进行监督，根据董事会的授权进行处理；

（八）风险管理的其他职责。

第十五条（风险总监或独立高管）规模较大或业务复杂的银行业金融机构应当设立风险总监（首席风险官）。董事会应当将风险总监（首席风险官）纳入高级管理人员。风险总监（首席风险官）或其他牵头负责全面风险管理的高级管理人员应当保持充分的独立性，不得分管业务经营条线，可以直接向董事会报告全面风险管理情况。

调整风险总监（首席风险官）的，应当事先得到董事会批准，并公开披露。银行业金融机构应当向银行业监督管理机构报告风险总监（首席风险官）的调整原因。

第十六条（全面风险管理的职责分工）银行业金融机构应当确定业务条线承担风险管理的直接责任；风险管理条线承担制定政策和流程，日常监测和管理风险的责任；内审部门承担业务部门和风险管理部门履责情况的审计责任。

第十七条（全面风险管理职能部门职责）银行业金融机构应当设立或者指定部门负责全面风险管理，牵头履行全面风险的日常管理，包括但不限于以下职责：

（一）实施全面风险管理体系建设，牵头协调各类具体风险管理部门；

（二）识别、计量、评估、监测、控制或缓释全面风险和各类重要风险，及时向高级管理人员报告；

（三）持续监控风险偏好、风险管理策略、风险限额及风险管理政策和程序的执行情况，对突破风险偏好、风险限额以及违反风险管理政策和程序的情况及时预警、报告并提出处理建议。

（四）组织开展风险评估，及时发现风险隐患和管理漏洞，持续提高风险管理的有效性。

第十八条（分支机构要求）银行业金融机构应当采取必要措施，保证全面风险管理的政策流程在基层分支机构得到理解与执行，建立与基层分支机构风险状况相匹配的风险管理架构。

在境外设有机构的银行业金融机构应当建立适当的境外风险管理框架、政策和流程。第十九条（资源保障）银行业金融机构应当赋予全面风险管理职能部门和各类风险管理部门充足的资源、独立性、授权，保证其能够及时获得风险管理所需的数据和信息，满足履行风险管理职责的需要。

第三章 风险管理策略、风险偏好和风险限额

第二十条（风险管理策略）银行业金融机构应当制定清晰的风险管理策略，至少每年评估其有效性。风险管理策略应当反映风险偏好、风险状况以及市场和宏观经济变化，并在银行内部得到充分传导。

第二十一条（风险偏好总体要求）银行业金融机构应当制定书面的风险偏好，定性指标和定量指标并重。风险偏好的设定应当与战略目标、经营计划、资本规划、绩效考评和薪酬机制衔接，在全行传达并执行。

银行业金融机构应当每年对风险偏好至少进行一次评估。

第二十二条（风险偏好内容）银行业金融机构制定的风险偏好，应当包括但不限于以下内容：

（一）战略目标和经营计划的制定依据，风险偏好与战略目标、经营计划的关联性；

（二）为实现战略目标和经营计划愿意承担的风险总量；

（三）愿意承担的各类风险的最大水平；

（四）风险偏好的定量指标，包括利润、风险、资本、流动性以及其他相关指标的目标值或目标区间。上述定量指标通过风险限额、经营计划、绩效考评等方式传导至业务条线、分支机构、附属机构的安排；

（五）对不能定量的风险偏好的定性描述，包括承担此类风险的原因、采取的管理措施；

（六）资本、流动性抵御总体风险和各类风险的水平；

（七）可能导致风险偏好目标的情形和处置方法。

风险偏好应当明确董事会、高级管理层和首席风险官、业务条线、风险部门和审计部门在制定和实施风险偏好过程中的职责。

第二十三条（风险偏好执行报告）银行业金融机构应当建立监测分析各业务条线、分支机构、附属机构执行风险偏好的机制。

当风险偏好目标被突破时，应当及时分析原因、制定解决方案并实施。

第二十四条（风险偏好调整）银行业金融机构应当建立风险偏好的调整制度。根据业务规模、复杂程度、风险状况的变化，对风险偏好进行调整。

第二十五条（风险限额管理）银行业金融机构应当制定风险限额管理的政策和程序，建立风险限额设定、限额调整、超限额报告和处理制度。

银行业金融机构应当根据风险偏好，按照客户、行业、区域、产品等维度设定风险限额。风险限额应当综合考虑资本、风险集中度、流动性、交易目的等。

全面风险管理职能部门应当对风险限额进行监控，并向董事会和高级管理层报送风险限额使用情况。

第四章 风险管理政策和程序 第二十六条（风险管理政策和程序）银行业金融机构应当制定风险管理政策和程序，包括但不限于以下内容：

（一）全面风险管理的方法，包括各类风险的识别、计量、评估、监测、报告、控制或缓释，风险加总的方法和程序；

（二）风险定性管理和定量管理的方法；

（三）风险管理报告；

（四）压力测试安排；

（五）新产品、重大业务和机构变更的风险评估；

（六）资本和流动性充足情况评估；

（七）应急计划和恢复计划。

第二十七条（风险的识别、计量、评估、监测、报告和控制或缓释）银行业金融机构应当在集团和法人层面对各附属机构、分支机构、业务条线，对表内和表外、境内和境外、本币和外币业务涉及的各类风险，进行识别、计量、评估、监测、报告、控制或缓释。

银行业金融机构应当制定每项业务对应的风险管理政策和程序。未制定的，不得开展该项业务。

银行业金融机构应当有效评估和管理各类风险。对能够量化的风险，应当通过风险计量技术，加强对相关风险的计量、控制、缓释；对难以量化的风险，应当建立风险识别、评估、控制和报告机制，确保相关风险得到有效管理。

第二十八条（政策和程序的一致性）银行业金融机构应当建立风险统一集中管理的制度，确保全面风险管理对各类风险管理的统领性，各类风险管理与全面风险管理政策和程序的一致性。

第二十九条（风险加总的方法和程序）银行业金融机构应当建立风险加总的政策、程序，选取合理可行的加总方法，充分考虑集中度风险及风险之间的相互影响和相互传染，确保在不同层次上和总体上及时识别风险。

第三十条（内部模型）银行业金融机构采用内部模型计量风险的，应当遵守相关监管要求，确保风险计量的一致性、客观性和准确性。董事会和高级管理层应当理解模型结果的局限性、不确定性和模型使用的固有风险。

第三十一条（风险管理报告）银行业金融机构应当建立全面风险管理报告制度，明确报告的内容、频率、路线。

报告内容至少包括总体风险和各类风险的整体状况；风险管理策略、风险偏好和风险限额的执行情况；风险在行业、地区、客户、产品等维度的分布；资本和流动性抵御风险的水平。

第三十二条（压力测试安排）银行业金融机构应当建立压力测试体系，明确压力测试的治理结构、政策文档、方法流程、情景设计、保障支持、验证评估以及压力测试结果运用。

银行业金融机构应当定期开展压力测试。压力测试的开展应当覆盖各类风险和表内外主要业务领域，并考虑各类风险之间的相互影响。

压力测试结果应当运用于银行业金融机构的风险管理和各项经营管理决策中。第三十三条（新产品、重大业务和机构变更的风险评估）银行业金融机构应当建立专门的政策和流程，评估开发新产品或对现有产品进行重大改动、拓展新的业务领域、设立新机构、从事重大收购和投资等可能带来的风险，并建立内部审批流程和退出安排。银行业金融机构开展上述活动时，应当经风险管理部门审查同意，并经董事会或董事会指定的专门委员会批准。

第三十四条（资本和流动性充足情况评估）银行业金融机构应当根据风险偏好和风险状况及时评估资本和流动性的充足情况，确保资本、流动性能够抵御风险。

第三十五条（应急计划）银行业金融机构应当制定应急计划，确保能够及时应对和处理紧急或危机情况。应急计划应当说明可能出现的风险以及在压力情况（包括会严重威胁银行生存能力的压力情景）下应当采取的措施。银行业金融机构的应急计划应当涵盖对境外分支机构和附属机构的应急安排。银行业金融机构应当定期更新、演练或测试上述计划，确保其充分性和可行性。

第三十六条（恢复计划）银行业金融机构应当按照相关监管规定的要求，根据银行的风险状况和系统重要性，制定并定期更新完善本机构的恢复计划，明确本机构在压力情况下能够继续提供持续稳定运营的各项关键性金融服务并恢复正常运营的行动方案。

第三十七条（附属机构）银行业金融机构应当制定覆盖其附属机构的风险管理政策和程序，保持机构风险管理的一致性、有效性。银行业金融机构应当要求并确保各附属机构在整体风险偏好和风险管理政策框架下，建立自身的风险管理组织架构、政策流程，促进全面风险管理的一致性和有效性。

银行业金融机构应当建立健全防火墙制度，规范内部交易，防止风险传染。第三十八条（外包风险管理）银行业金融机构应当制定外包风险管理制度，确定与其风险管理水平相适应的外包活动范围。

第三十九条（风险管理应用）银行业金融机构应当将风险偏好、风险管理策略、风险限额、风险管理政策和程序等要素与资本管理、业务管理相结合，在战略和经营计划制定、新产品审批、内部定价、绩效考评和薪酬政策等日常经营管理中充分应用并得到有效实施。

第四十条（文档管理）银行业金融机构应当对风险偏好、风险管理策略、风险限额、风险管理政策和程序建立规范的文档记录。

第五章 管理信息系统和数据质量

第四十一条（风险管理信息系统）银行业金融机构应当具备完善的风险管理信息系统，能够在集团和法人层面计量、评估、展示、报告、加总所有风险类别、产品和交易对手风险暴露的规模和构成。

第四十二条（系统功能）银行业金融机构相关风险管理信息系统应当具备以下主要功能，支持风险报告和管理决策的需要。

（一）支持识别、计量、评估、监测和报告所有类别的重要风险；

（二）支持风险限额管理，对超出风险限额的情况进行实时监测、预警和控制；

（三）能够计量、评估和报告所有风险类别、产品和交易对手的风险状况，满足全面风险管理需要。

（四）支持按照业务条线、机构、资产类型、行业、地区、集中度等多个维度展示和报告风险暴露情况；

（五）支持不同频率的定期报告和压力情况下的数据加工和风险加总需求；

（六）支持压力测试工作，评估各种不利情景对全行及主要业务条线的影响； 第四十三条（信息科技基础设施）银行业金融机构应当建立与业务规模、风险状况等相匹配的信息科技基础设施。

第四十四条（数据质量）银行业金融机构应当建立健全数据质量控制机制，积累真实、准确、连续、完整的内部和外部数据，用于风险识别、计量、评估、监测、报告，资本和流动性充足情况的评估。

第六章 内部控制和审计

第四十五条（内控要求）银行业金融机构应当合理确定各项业务活动和管理活动的风险控制点，采取适当的控制措施，执行标准统一的业务流程和管理流程，确保规范运作。

第四十六条（内审要求）银行业金融机构应当将全面风险管理纳入内部审计范畴，定期审查和评价全面风险管理的充分性和有效性。

银行业金融机构内部审计活动应独立于业务经营、风险管理和合规管理，遵循独立性、客观性原则，不断提升内部审计人员的专业能力和职业操守。

全面风险管理的内部审计报告应当直接提交董事会和监事会。董事会应当针对内部审计发现的问题，督促高级管理层及时采取整改措施。内部审计部门应当跟踪检查整改措施的实施情况，并及时向董事会提交有关报告。

第七章 监督管理

第四十七条（报备及报告要求）银行业金融机构应当将风险管理策略、风险偏好、风险限额、风险管理政策和程序等报送银行业监督管理机构，并至少按报送全面风险管理报告。

第四十八条（监管内容）银行业监督管理机构应当将银行业金融机构全面风险管理纳入法人监管体系中，并根据本指引全面评估银行业金融机构风险管理体系的健全性和有效性，提出监管意见，督促银行业金融机构持续加以完善。

第四十九条（监管方式）银行业监督管理机构通过非现场监管和现场检查等实施对银行业金融机构全面风险管理的持续监管，具体方式包括但不限于监管评级、风险提示、现场检查、监管通报、监管会谈、与内外部审计师会谈等。

第五十条（监管沟通）银行业监督管理机构应当就全面风险管理情况与银行业金融机构董事会、监事会、高级管理层等进行充分沟通，并视情况在银行董事会、监事会会议上通报。

第五十一条（监管措施）对不能满足本指引及其他关于全面风险管理要求的银行业金融机构，银行业监督管理机构可以要求其制定整改方案，责令限期改正，并视情况采取相应的监管措施。

第八章 附则

第五十二条（与具体风险监管要求的关系）各类具体风险的监管要求按照银行业监督管理机构的有关规制执行。第五十三条（参照执行）经银行业监督管理机构批准设立的其他金融机构参照本指引执行。

第五十四条（施行时间）本指引自2016年 月 日起施行。本指引实施前发布的有关规范性文件如与本指引不一致的，按照本指引执行。[1]

解读一

为提升银行业金融机构全面风险管理水平，引导银行业金融机构更好服务实体经济，银监会近日发布了《银行业金融机构全面风险管理指引》（以下简称《指引》）。银监会有关部门负责人就《指引》相关问题回答了记者的提问。

一、《指引》制定的背景是什么？

答：《指引》制定的背景主要有三方面：一是我国银行业风险管理缺乏统领性规制。近年来，银监会陆续制定了各类审慎监管规则，覆盖了资本管理、信用风险、市场风险、流动性风险、操作风险、并表管理等各个领域，比较系统，但仍然缺乏一个针对全面风险管理的统领性、综合性规则。因此，有必要制定关于全面风险管理的审慎规制，为银行建立完善的全面风险管理体系提供政策依据和指导。二是银行业金融机构全面风险管理实践有待完善。我国银行业在全面风险管理体系建设上已取得一定的成果，但实践中仍然存在以下问题有待完善：第一，全面风险管理的统筹性和有效性有待提升。第二，中小银行业金融机构全面风险管理体系建设起步相对较晚，精细化程度有待提高。第三，银行业金融机构全面风险管理成果的应用较多基于银监会的监管要求，深度和广度仍有很大的拓展空间。三是国际监管改革对风险管理提出了新的要求。2008年国际金融危机后，国际组织和各国监管机构都在积极完善金融机构全面风险管理相关制度。2012年，巴塞尔委员会修订了《有效银行监管核心原则》，完善和细化了原则15“风险管理体系”的各项标准。之后，巴塞尔委员会和金融稳定理事会针对公司治理、风险偏好、风险文化和风险报告等全面风险管理要素陆续发布了一系列政策文件，提出了更具体的要求。《指引》的制定既是积极适应国际监管改革新要求的结果，又有助于提升我国银行业风险管理水平。

二、《指引》制定的主要思路是什么？

答：《指引》的起草主要基于以下思路：一是形成系统化的全面风险管理规制。二是提出风险管理的统领性框架，强化全面性和关联性视角。三是提高可操作性，提供全面风险管理和监管指南。四是引入《核心原则》最低标准，反映国际监管改革最新成果。五是充分考虑各类机构的差异化情况。六是注重与已有规制的衔接。

三、《指引》对全面风险管理有哪些原则性规定？

答：《指引》对银行业金融机构全面风险管理提出四点管理原则：一是匹配性原则。全面风险管理体系应当与风险状况和系统重要性等相适应，并根据环境变化进行调整。二是全覆盖原则。全面风险管理应当覆盖各个业务条线，包括本外币、表内外、境内外业务；覆盖所有分支机构、附属机构，部门、岗位和人员；覆盖所有风险种类和不同风险之间的相互影响；贯穿决策、执行和监督全部管理环节。三是独立性原则。银行业金融机构应当建立独立的全面风险管理组织架构，赋予风险管理条线足够的授权、人力资源及其他资源配置，建立科学合理的报告渠道，与业务条线之间形成相互制衡的运行机制。四是有效性原则。银行业金融机构应当将全面风险管理的结果应用于经营管理，根据风险状况、市场和宏观经济情况评估资本和流动性的充足性，有效抵御所承担的总体风险和各类风险。

四、《指引》对全面风险管理提出哪些主要要求？

答：《指引》提出了银行业金融机构全面风险管理体系的五个主要要素，包括风险治理架构，风险管理策略、风险偏好和风险限额，风险管理政策和程序，管理信息系统和数据质量控制，内部控制和审计体系等。《指引》对以上要素的具体内容也进行了规定。

其中，关于风险偏好，《指引》规定银行业金融机构应当制定书面的风险偏好，做到定性指标和定量指标并重，并提出了风险偏好应包括的七项具体内容。关于风险限额，《指引》提出，银行业金融机构应当制定风险限额管理的政策和程序，建立风险限额设定、限额调整、超限额报告和处理制度。同时，在风险限额临近监管指标限额时，银行业金融机构应当启动相应的纠正措施和报告程序，采取必要的风险分散措施，并向银行业监督管理机构报告。

五、《指引》对全面风险管理的责任主体提出哪些要求？

答：《指引》采用了风险管理“三道防线”的理念，强调银行业金融机构董事会承担全面风险管理的最终责任。银行业金融机构监事会承担全面风险管理的监督责任，负责监督检查董事会和高级管理层在风险管理方面的履职尽责情况并督促整改。银行业金融机构应当设立或指定部门负责全面风险管理，牵头履行全面风险的日常管理。银行业金融机构各业务经营条线承担风险管理的直接责任。

六、《指引》是否充分考虑各类机构的差异性？

答：《指引》定位于为银行业金融机构完善全面风险管理体系提供系统性指导框架。在此基础上，《指引》充分考虑了各类银行业金融机构的差异化情况。一是区分适用和参照执行。适用范围明确为我国境内设立的银行业金融机构，经银行业监督管理机构批准设立的其他金融机构参照本指引执行。二是明确匹配性原则。考虑到各类机构特点的差异性，《指引》明确提出全面风险管理体系应当与风险状况和系统重要性等相匹配，并根据环境变化进行调整。三是部分条款增加了适用的前提条件。如对规模较大或业务复杂的银行业金融机构提出设立风险总监（首席风险官）的要求。[2]

解读二

银行业金融机构全面风险管理指引[1]

中国银监会就《银行业金融机构全面风险管理指引（征求意见稿）》公开征求意见 为提升银行业金融机构全面风险管理水平，中国银监会起草了《银行业金融机构全面风险管理指引（征求意见稿）》（以下简称《指引》），现向社会公开征求意见。银监会将根据各界反馈意见，进一步修改完善《指引》，适时发布。

近年来，为加强和规范商业银行风险管理，银监会借鉴国际金融监管改革成果，紧密结合我国银行业实际，陆续制定了各类审慎监管规则，覆盖了资本管理、信用风险、市场风险、流动性风险、操作风险、并表管理等各个领域，初步建立起一套较为完整的风险管理规制体系。在此基础上，银监会从现有规则中梳理提炼出共性要素，同时参照巴塞尔银行委员会《有效银行监管核心原则》的基本要求，借鉴国际经验，起草了《指引》，形成了我国银行业全面风险管理的统领性、综合性规则，引导银行业树立全面风险管理意识，建立稳健的风险文化，健全风险管理治理架构和要素，完善全面风险管理体系，持续提高风险管理水平。

《指引》共8章54条，包括总则，风险治理架构，风险管理策略、风险偏好和风险限额，风险管理政策和程序，管理信息系统和数据质量，内部控制和审计，监督管理及附则，强调银行业金融机构按照匹配性、全覆盖、独立性和有效性的原则，建立健全全面风险管理体系，并加强外部监管。

第三篇：中国银监会关于印发银行业金融机构从业人员行为管理指引的通知

中国银监会关于印发银行业金融机构从业人员行为管理指

引的通知

中国银监会关于印发银行业金融机构从业人员行为管理指引的通知银监发〔2018〕9号银行业金融机构从业人员行为管理指引第一章 总则第一条为督促银行业金融机构加强从业人员行为管理，促进银行业安全、稳健运行，根据《中华人民共和国商业银行法》《中华人民共和国银行业监督管理法》等法律法规制定本指引。第二条本指引所称银行业金融机构是指在中华人民共和国境内设立的商业银行、农村信用合作社等吸收公众存款的金融机构及政策性银行。在中华人民共和国境内设立的金融资产管理公司、信托公司、财务公司、金融租赁公司以及经国务院银行业监督管理机构批准设立的其他金融机构适用本指引。第三条本指引所称银行业金融机构从业人员（以下简称从业人员）是指按照《中华人民共和国劳动合同法》规定，与银行业金融机构签订劳动合同的在岗人员，银行业金融机构董（理）事会成员、监事会成员及高级管理人员，以及银行业金融机构聘用或与劳务派遣机构签订协议从事辅助性金融服务的其他人员。第四条银行业金融机构对本机构从业人员行为管理承担主体责任。银行业金融机构应加强对从业人员行为的管理，使其保持良好的职业操守，诚实守信、勤勉尽责，坚持依法经营、合规操作，遵守工作纪律和保密原则，严格执行廉洁从业的各项规定。第二章 从业人员行为管理的治理架构第五条银行业金融机构应建立覆盖全面、授权明晰、相互制衡的从业人员行为管理体系，并明确董事会、监事会、高级管理层和相关职能部门在从业人员行为管理中的职责分工。第六条银行业金融机构董事会对从业人员的行为管理承担最终责任，并履行以下职责：

（一）培育依法合规、诚实守信的从业人员行为管理文化；

（二）审批本机构制定的行为守则及其细则；

（三）监督高级管理层实施从业人员行为管理。董事会可授权下设相关委员会履行其部分职责。第七条监事会负责对董事会和高级管理层在从业人员行为管理中的履职情况进行监督评价。第八条高级管理层承担从业人员行为管理的实施责任，执行董事会决议，履行以下职责：

（一）建立覆盖全面的从业人员行为管理体系，明确相关行为管理部门的职责范围；

（二）制定行为守则及其细则，并确保实施；

（三）每年将从业人员行为评估结果向董事会报告；

（四）建立全机构从业人员管理信息系统。第九条银行业金融机构应明确从业人员行为管理的牵头部门，负责全机构从业人员的行为管理。除牵头部门外的风险管理、内控合规、内部审计、人力资源和监察部门等行为管理相关部门应根据从业人员行为管理的职责分工，积极配合牵头部门对从业人员的行为进行监测、识别、记录、处理和报告。第十条银行业金融机构应配备专人负责从业人员行为管理，该岗位的从业人员应品行端正、业务熟练，并具有与履职相匹配的经验和适当的职级，其联系方式应在全机构公开并可查询。第十一条

银行业金融机构应建立与本机构业务复杂程度相匹配的从业人员管理信息系统，持续收集从业人员的基本情况、行为评价、处罚等相关信息，支持对从业人员行为开展动态监测。第三章 从业人员行为管理的制度建设第十二条

银行业金融机构从业人员行为管理应以风险为本，重点防范从业人员不当行为引发的信用风险、流动性风险、操作风险和声誉风险等各类风险。第十三条

银行业金融机构应制定与自身业务复杂程度相匹配的行为守则供全体从业人员遵循。行为守则应有利于银行业金融机构的稳健经营和风险防控。行为守则应包括但不限于从业人员的行为规范、禁止性行为及其问责处罚机制等。银行业金融机构应及时对行为守则进行更新和修订，以适应经营环境和监管要求的变化。第十四条

银行业金融机构应制定覆盖各业务条线的行为细则，各业务条线的行为细则应符合不同业务条线的特点，突出各业务条线中关键岗位的行为要求，并重点关注该业务条线中的不当行为可能带来的潜在风险。银行业金融机构应及时对行为细则进行更新和修订，以适应经营环境和监管要求的变化。第十五条

银行业金融机构制定的行为守则及其细则应要求全体从业人员遵守法律法规、恪守工作纪律，包括但不限于：自觉抵制并严禁参与非法集资、地下钱庄、洗钱、商业贿赂、内幕交易、操纵市场等违法行为，不得在任何场所开展未经批准的金融业务，不得销售或推介未经审批的产品，不得代销未持有金融牌照机构发行的产品，不得利用职务和工作之便谋取非法利益，未经监管部门允许不得向社会或其他单位和个人泄露监管工作秘密信息等。第十六条

银行业金融机构应通过培训等方式向全体从业人员清楚传达行为守则及其细则的相关要求，并视情况开展必要的警示谈话和通报教育。第十七条

银行业金融机构的行为管理牵头部门应每年制定从业人员行为的评估规划，定期评估全体从业人员行为，并将评估结果向高级管理层报告。针对评估中发现的从业人员不当行为及其风险隐患，应予以记录并及时提出处理建议。针对评估中发现的共性问题，应提出有效的整改计划，并持续对行为守则及其细则进行完善。第十八条

银行业金融机构的行为管理牵头部门应完善从业人员行为的长期监测机制，并建立针对重点问题、关键岗位的不定期排查机制。针对监测和排查中发现的问题，应予以记录并及时提出处理建议。第十九条

银行业金融机构应在从业人员招聘和任职程序中评估其与业务相关的行为，重点考察是否有不当行为记录。对银行业金融机构从业人员的利益相关人员，不得降低招聘录用标准。银行业金融机构应落实任职回避和业务回避制度，应从职责安排上形成有效制衡，避免从业人员滥用职权。银行业金融机构在招录董事（理事）和高级管理人员时，应向银行业监督管理机构申请在银行业金融机构从业人员处罚信息系统中查询有关行政处罚信息。第二十条

银行业金融机构应将从业人员行为评估结果作为薪酬发放和职位晋升的重要依据。银行业金融机构应针对高级管理人员及关键岗位人员制定与其行为挂钩的绩效薪酬延期追索、扣回制度。银行业金融机构应明确晋升的基本条件，未达到相关行为要求的从业人员不得晋升。第二十一条

银行业金融机构应建立举报制度，鼓励从业人员积极抵制、堵截和检举各类违法违规违纪和危害所在机构声誉的行为。银行业金融机构相关职能部门接到举报后，应迅速处理，并视其严重程度向高级管理层汇报，高级管理层应视其严重程度向银行业监督管理机构及其他相关监管机构或执法部门报告。第二十二条

银行业金融机构应及时对违反行为守则及其细则的从业人员进行处理和责任追究，并视情况追究负有管理职责的相关责任人的责任。对于涉嫌刑事犯罪的行为，银行业金融机构应及时移送司法机关，不得以纪律处分代替法律制裁。与本行解除或终止劳动合同的离职或退休人员，如被发现在银行业金融机构工作期间存在严重违规行为的，仍应追究其责任。第四章 从业人员行为管理的监管第二十三条

银行业金融机构应当将本机构制定的从业人员行为守则及其细则报送银行业监督管理机构，并每年至少报送一次本机构从业人员行为评估报告，报告应至少包括本机构从业人员行为管理的治理架构、制度建设、从业人员不当行为等内容。第二十四条

银行业监督管理机构通过非现场监管和现场检查等对银行业金融机构从业人员行为管理进行评估和监督管理，并在监管评级中考虑上述评估结果。对于不能满足本指引及其他法律法规中关于从业人员行为管理相关要求的银行业金融机构，银行业监督管理机构可以要求其制定整改方案，责令限期改正，并视情况采取相应的监管措施。第二十五条

银行业金融机构应当根据《银行业金融机构从业人员处罚信息管理办法》的相关要求，将本机构从业人员受刑事处罚、行政处罚、纪律处分、职位处分和经济处理等惩戒措施情况，根据属地监管原则分别向银行业监督管理机构及其派出机构报送相关信息。第二十六条

银行业监督管理机构在核准银行业金融机构董事（理事）和高级管理人员等任职资格时，应在银行业金融机构从业人员处罚信息系统中查询从业人员处罚信息，并根据查询结果，依照有关规定决定是否予以核准。银行业监督管理机构及银行业金融机构不得违反规定泄露从业人员处罚信息。第五章 附则第二十七条

本指引由中国银行业监督管理机构负责解释和修订。第二十八条

本指引自印发之日起施行。

第四篇：银行业金融机构外包风险管理指引

银行业金融机构外包风险管理指引

第一章 总则

第一条 为了规范银行业金融机构的外包活动，保障银行业金融机构业务持续经营，依据《中华人民共和国银行业监督管理法》、《中华人民共和国商业银行法》等有关法律法规，制定本指引。

第二条 在中华人民共和国境内设立的银行业金融机构适用本指引。

第三条 本指引中的外包是指银行业金融机构将原来由自身负责处理的某些业务活动委托给服务提供商进行持续处理的行为。服务提供商包括独立第三方，银行业金融机构母公司或其所属集团设立在中国境内、外的子公司、关联公司或附属机构。

第四条 银行业金融机构的董事会和高级管理层应当承担外包活动的最终责任。

第五条 银行业金融机构开展外包活动应当制定外包的风险管理框架以及相关制度，并将其纳入全面风险管理体系。

第六条 银行业金融机构应当根据审慎经营原则制定其外包战略发展规划，确定与其风险管理水平相适宜的外包活动范围。

第七条 银行业金融机构的战略管理、核心管理以及内部审计等职能不宜外包。

第二章组织结构

第八条 银行业金融机构外包管理的组织架构应当包括董事会、高级管理层及外包管理团队。

第九条 董事会的职责主要包括以下方面：

（一）审议批准外包的战略发展规划；

（二）审议批准外包的风险管理制度；

（三）审议批准本机构的外包范围及相关安排；

（四）定期审阅本机构外包活动相关报告；

（五）定期安排内部审计，确保审计范围涵盖所有的外包安排。

第十条 高级管理层的职责主要包括以下方面：

（一）制定外包战略发展规划；

（二）制定外包风险管理的政策、操作流程和内控制度；

（三）确定外包业务的范围及相关安排；

（四）确定外包管理团队职责，并对其行为进行有效监督。

第十一条 外包管理团队的职责主要包括以下方面：

（一）执行外包风险管理的政策、操作流程和内控制度；

（二）负责外包活动的日常管理，包括尽职调查、合同执行情况的监督及风险状况的监督；

（三）向高级管理层提出有关外包活动发展和风险管控的意见和建议；

（四）在发现外包服务提供商业的业务活动存在缺陷时，采取及时有效的措施；

（五）高级管理层确定的其他职责

第三章风险管理

第十二条 银行业金融机构在制定外包活动政策时，应当评估以下风险因素：

（一）银行业金融机构应当关注外包活动的战略风险、法律风险、声誉风险、合规风险、操作风险、国别风险等风险；

（二）影响外包活动的外部因素；

（三）本机构对外包活动的风险管控能力；

（四）服务提供商的技术能力及专业能力，业务策略和业务规模，业务连续性及破产风险，风险控制能力及外包服务的集中度；

（五）其他关注的事项。

第十三条 银行业金融机构在进行外包活动时应当对服务提供商进行尽职调查，尽职调查应当包括以下事项：

（一）管理能力和行业地位；

（二）财务稳健性；

（三）经营声誉和企业文化；

（四）技术实力和服务质量；

（五）突发事件应对能力；

（六）对银行业的熟悉程度；

（七）对其他银行业金融机构提供服务的情况；

（八）银行业金融机构认为重要的其他事项。银行业金融机构的外包活动涉及多个服务提供商时，应当对这些服务提供商进行关联关系的调查。

第十四条 银行业金融机构开展外包活动时应当签订书面合同或协议，明确双方的权利义务。合同或协议应当包括但不限于以下内容：

（一）外包服务的范围和标准；

（二）外包服务的保密性和安全性的安排；

（三）外包服务的业务连续性的安排；

（四）外包服务的审计和检查；

（五）外包争端的解决机制；

（六）合同或协议变更或终止的过渡安排；

（七）违约责任。

对于具有专业技术性的外包活动，可签订服务标准协议。

第十五条 银行业金融机构在外包活动中应当建立严格的客户信息保密制度，并依法履行告知义务。

第十六条 银行业金融机构在外包合同中应当要求外包服务提供商承诺以下事项：

（一）定期通报外包活动的有关事项；

（二）及时通报外包活动的突发性事件；

（三）配合银行业金融机构接受银行业监督管理机构的检查；

（四）保障客户信息的安全性，当客户信息不安全或客户权利受到影响时，银行业金融机构有权随时终止外包合同；

（五）不得以银行业金融机构的名义开展活动；

（六）银行业金融机构认为应当承诺的其他事项。第十七条 银行业金融机构应当关注外包服务提供商分包的风险，并在合同中明确以下事项：

（一）服务提供商分包的规则；

（二）分包服务提供商应当严格遵守主服务提供商与银行业金融机构确定的外包合同或协议中的相关条款；

（三）主服务商应当确认在业务分包后继续保证对服务水平和系统控制负总责；

（四）不得将外包活动的主要业务分包。

第十八条 银行业金融机构应当在合同中约定服务提供商不得将外包活动转包或变相转包。

第十九条 银行业金融机构在开展跨境外包活动时，应当遵守以下原则：

（一）审慎评估法律和管制风险；

（二）确保客户信息的安全；

（三）选择境外服务提供商时，应当明确其所在国家或地区监管当局已与我国银行业监督管理机构签订谅解备忘录或双方认可的其他约定。

第二十条 银行业金融机构应当事先制定和建立外包突发事件应急预案和机制。通过采取替代方案、寻求合同项下的保险安排等措施，确保业务活动的正常经营。

第二十一条 银行业金融机构应当定期对外包活动进行全面审计与评价。

第四章监督管理

第二十二条 银行业金融机构在开展外包活动时，应当定期向所在地银行业监督管理机构递交本机构外包活动的评估报告。

第二十三条 银行业金融机构在开展外包活动时如遇到对本机构的业务经营、客户信息安全、声誉等产生重大影响事件，应当及时向所在地银行业监督管理机构报告。

第二十四条 银行业监督管理机构及其派出机构根据需要对外包活动进行现场检查，采集外包活动过程中数据信息和相关资料，并将检查结果纳入对该机构的监管评级。

第二十五条 对外包活动存在以下情形的，银行业监督管理机构可以要求银行业金融机构纠正或采取替代方案，并视情况予以问责。

（一）违反相关法律、行政法规及规章；

（二）违反本机构风险管理政策、内控制度及操作流程等；

（三）存在重大风险隐患；

（四）其他认定的情形。

第五章附则

第二十六条 经银行业监督管理机构批准的其他金融机构开展外包活动时遵照本指引执行。

第二十七条 本指引由中国银行业监督管理委员会负责解释。

第二十八条 本指引自发布之日起实施。

第五篇：银行业金融机构信息系统风险管理指引

【发布单位】中国银行业监督管理委员会 【发布文号】

【发布日期】2006-11-01 【生效日期】2006-11-01 【失效日期】 【所属类别】政策参考

【文件来源】中国银行业监督管理委员会

银行业金融机构信息系统风险管理指引

第一章 总 则

第一条第一条 为有效防范银行业金融机构运用信息系统进行业务处理、经营管理和内部控制过程中产生的风险，促进我国银行业安全、持续、稳健运行，根据《 中华人民共和国银行业监督管理法》、国家信息安全相关要求和信息系统管理的有关法律法规，制定本指引。

第二条第二条 本指引适用于银行业金融机构。

本指引所称银行业金融机构，是指在中华人民共和国境内设立的商业银行、城市信用合作社、农村合作银行、农村信用合作社等吸收公众存款的金融机构以及政策性银行。

在中华人民共和国境内设立的金融资产管理公司、信托投资公司、财务公司、金融租赁公司、汽车金融公司以及经中国银行业监督管理委员会（以下简称银监会）及其派出机构批准设立的其他金融机构，适用本指引规定。

第三条第三条 本指引所称信息系统，是指银行业金融机构运用现代信息、通信技术集成的处理业务、经营管理和内部控制的系统。

第四条第四条 本指引所称信息系统风险，是指信息系统在规划、研发、建设、运行、维护、监控及退出过程中由于技术和管理缺陷产生的操作、法律和声誉等风险。

第五条第五条 信息系统风险管理的目标是通过建立有效的机制，实现对信息系统风险的识别、计量、评价、预警和控制，推动银行业金融机构业务创新，提高信息化水平，增强核心竞争力和可持续发展能力。

第二章 机构职责

第六条第六条 银行业金融机构应建立有效的信息系统风险管理架构，完善内部组织结构和工作机制，防范和控制信息系统风险。

第七条第七条 银行业金融机构应认真履行下列信息系统管理职责：

（一）贯彻执行国家有关信息系统管理的法律、法规和技术标准，落实银监会相关监管要求；

（二）建立有效的信息安全保障体系和内部控制规程，明确信息系统风险管理岗位责任制度，并监督落实；

（三）负责组织对本机构信息系统风险进行检查、评估、分析，及时向本机构专门委员会和银监会及其派出机构报送相关的管理信息；

（四）及时向银监会及其派出机构报告本机构发生的重大信息系统事故或突发事件，并按有关预案快速响应；

（五）每年经董事会或其他决策机构审查后向银监会及其派出机构报送信息系统风险管理的报告；

（六）做好本机构信息系统审计工作；

（七）配合银监会及其派出机构做好信息系统风险监督检查工作，并按照监管意见进行整改；

（八）组织本机构信息系统从业人员进行信息系统有关的业务、技术和安全培训；

（九）开展与信息系统风险管理相关的其他工作。

第八条第八条 银行业金融机构的董事会或其他决策机构负责信息系统的战略规划、重大项目和风险监督管理；信息科技管理委员会、风险管理委员会或其他负责风险监督的专业委员会应制定信息系统总体策略，统筹信息系统项目建设，定期评估、报告本机构信息系统风险状况，为决策层提供建议，采取相应的风险控制措施。

第九条第九条 银行业金融机构法定代表人或主要负责人是本机构信息系统风险管理责任人。

第十条第十条 银行业金融机构应设立信息科技部门，统一负责本机构信息系统的规划、研发、建设、运行、维护和监控，提供日常科技服务和运行技术支持；建立或明确专门信息系统风险管理部门，建立、健全信息系统风险管理规章、制度，并协助业务部门及信息科技部门严格执行，提供相关的监管信息；设立审计部门或专门审计岗位，建立健全信息系统风险审计制度，配备适量的合格人员进行信息系统风险审计。

第十一条第十一条 银行业金融机构从事与信息系统相关工作的人员应符合以下要求：

（一）具备良好的职业道德，掌握履行信息系统相关岗位职责所需的专业知识和技能；

（二）未经岗前培训或培训不合格者不得上岗；经考核不适宜的工作人员，应及时进行调整。

第十二条第十二条 银行业金融机构应加强信息系统风险管理的专业队伍建设，建立人才激励机制，适应信息技术的发展。

第十三条第十三条 银行业金融机构应依据有关法律法规及时和规范地披露信息系统风险状况。

第三章 总体风险控制

第十四条第十四条 总体风险是指信息系统在策略、制度、机房、软件、硬件、网络、数据、文档等方面影响全局或共有的风险。

第十五条第十五条 银行业金融机构应根据信息系统总体规划，制定明确、持续的风险管理策略，按照信息系统的敏感程度对各个集成要素进行分析和评估，并实施有效控制。

第十六条第十六条 银行业金融机构应采取措施防范自然灾害、运行环境变化等产生的安全威胁，防止各类突发事故和恶意攻击。

第十七条第十七条 银行业金融机构应建立健全信息系统相关的规章制度、技术规范、操作规程等；明确与信息系统相关人员的职责权限，建立制约机制，实行最小授权。

第十八条第十八条 在境外设立的我国银行业金融机构或在境内设立的境外银行业金融机构，应防范由于境内外信息系统监管制度差异等造成的跨境风险。

第十九条第十九条 银行业金融机构应严格执行国家信息安全相关标准，参照有关国际准则，积极推进信息安全标准化，实行信息安全等级保护。

第二十条第二十条 银行业金融机构应加强对信息系统的评估和测试，及时进行修补和更新，以保证信息系统的安全性、完整性。

第二十一条第二十一条 银行业金融机构信息系统数据中心机房应符合国家有关计算机场地、环境、供配电等技术标准。全国性数据中心至少应达到国家A类机房标准，省域数据中心至少应达到国家B类机房标准，省域以下数据中心至少应达到C类机房标准。数据中心机房应实行严格的门禁管理措施，未经授权不得进入。

第二十二条第二十二条 银行业金融机构应重视知识产权保护，使用正版软件，加强软件版本管理，优先使用具有中国自主知识产权的软、硬件产品；积极研发具有自主知识产权的信息系统和相关金融产品，并采取有效措施保护本机构信息化成果。

第二十三条第二十三条 银行业金融机构与信息系统相关的电子设备的选型、购置、登记、保养、维修、报废等应严格执行相关规程，选用的设备应经过技术论证，测试性能应符合国家有关标准。信息系统所用的服务器等关键设备应具有较高的可靠性、充足的容量和一定的容错特性，并配置适当的备品备件。

第二十四条第二十四条 信息系统的网络应参照相关的标准和规范设计、建设；网络设备应兼备技术先进性和产品成熟性；网络设备和线路应有冗余备份；严格线路租用合同管理，按照业务和交易流量要求保证传输带宽；建立完善的网管中心，监测和管理通信线路及网络设备，保障网络安全稳定运行。

第二十五条第二十五条 银行业金融机构应加强网络安全管理。生产网络与开发测试网络、业务网络与办公网络、内部网络与外部网络应实施隔离；加强无线网、互联网接入边界控制；使用内容过滤、身份认证、防火墙、病毒防范、入侵检测、漏洞扫描、数据加密等技术手段，有效降低外部攻击、信息泄漏等风险。

第二十六条第二十六条 银行业金融机构应加强信息系统加密机、密钥、密码、加解密程序等安全要素的管理，使用符合国家安全标准的密码设备，完善安全要素生成、领取、使用、修改、保管和销毁等环节管理制度。密钥、密码应定期更改。

第二十七条第二十七条 银行业金融机构应加强数据采集、存贮、传输、使用、备份、恢复、抽检、清理、销毁等环节的有效管理，不得脱离系统采集加工、传输、存取数据；优化系统和数据库安全设置，严格按授权使用系统和数据库，采用适当的数据加密技术以保护敏感数据的传输和存取，保证数据的完整性、保密性。

第二十八条第二十八条 银行业金融机构应对信息系统配置参数实施严格的安全与保密管理，防止非法生成、变更、泄漏、丢失与破坏。根据敏感程度和用途，确定存取权限、方式和授权使用范围，严格审批和登记手续。

第二十九条第二十九条 银行业金融机构应制定信息系统应急预案，并定期演练、评审和修订。省域以下数据中心至少实现数据备份异地保存，省域数据中心至少实现异地数据实时备份，全国性数据中心实现异地灾备。

第三十条第三十条 银行业金融机构应加强对技术文档资料和重要数据的备份管理；技术文档资料和重要数据应保留副本并异地存放，按规定年限保存，调用时应严格授权。信息系统的技术文档资料包括：系统环境说明文件、源程序以及系统研发、运行、维护过程中形成的各类技术资料。重要数据包括：交易数据、账务数据、客户数据，以及产生的报表数据等。

第三十一条第三十一条 银行业金融机构在信息系统可能影响客户服务时，应以适当方式告知客户。

第四章 研发风险控制

第三十二条第三十二条 研发风险是指信息系统在研发过程中组织、规划、需求、分析、设计、编程、测试和投产等环节产生的风险。

第三十三条第三十三条 银行业金融机构信息系统研发前应成立项目工作小组，重大项目还应成立项目领导小组，并指定负责人。项目领导小组负责项目的组织、协调、检查、监督工作。项目工作小组由业务人员、技术人员和管理人员组成，具体负责整个项目的开发工作。

第三十四条第三十四条 项目工作小组人员应具备与项目要求相适应的业务经验与专业技术知识，小组负责人需具备组织领导能力,保证信息系统研发质量和进度。

第三十五条第三十五条 银行业金融机构业务部门根据本机构业务发展战略，在充分进行市场调查、产品效益分析的基础上制定信息系统研发项目可行性报告。

第三十六条第三十六条 银行业金融机构业务部门编写项目需求说明书，提出风险控制要求，信息科技部门根据项目需求编制项目功能说明书。

第三十七条第三十七条 银行业金融机构信息科技部门依据项目功能说明书分别编写项目总体技术框架、项目设计说明书，设计和编码应符合项目功能说明书的要求。

第三十八条第三十八条 银行业金融机构应建立独立的测试环境，以保证测试的完整性和准确性。测试至少应包括功能测试、安全性测试、压力测试、验收测试、适应性测试。测试不得直接使用生产数据。

第三十九条第三十九条 银行业金融机构信息科技部门应根据测试结果修补系统的功能和缺陷，提高系统的整体质量。

第四十条第四十条 银行业金融机构业务人员、技术人员应根据职责范围分别编写操作说明书、技术应急方案、业务连续性计划、投产计划、应急回退计划，并进行演练。

第四十一条第四十一条 开发过程中所涉及的各种文档资料应经相关部门、人员的签字确认并归档保存。

第四十二条第四十二条 项目验收应出具由相关负责人签字的项目验收报告，验收不合格不得投产使用。

第五章 运行维护风险控制

第四十三条第四十三条 运行维护风险是指信息系统在运行与维护过程中操作管理、变更管理、机房管理和事件管理等环节产生的风险。

第四十四条第四十四条 银行业金融机构信息系统运行与维护应实行职责分离，运行人员应实行专职，不得由其他人员兼任。运行人员应按操作规程巡检和操作。维护人员应按授权和维护规程要求对生产状态的软硬件、数据进行维护，除应急外，其他维护应在非工作时间进行。

第四十五条第四十五条 银行业金融机构信息系统的运行应符合以下要求：

（一）制定详细的运行值班操作表，包括规定巡检时间，操作范围、内容、办法、命令以及负责人员等信息；

（二）提供常见和简便的操作菜单或命令，如信息系统的启动或停止、运行日志的查询等；

（三）提供机房环境、设备使用、网络运行、系统运行等监控信息；

（四）记录运行值班过程中所有现象、操作过程等信息。

第四十六条第四十六条 银行业金融机构信息系统的维护应符合以下要求：

（一）除对信息系统设备和系统环境的维护外，对软件或数据的维护必须通过特定的应用程序进行，添加、删除和修改数据应通过柜员终端，不得对数据库进行直接操作；

（二）具备各种详细的日志信息，包括交易日志和审计日志等，以便维护和审计；

（三）提供维护的统计和报表打印功能。

第四十七条第四十七条 银行业金融机构信息系统的变更应符合以下要求：

（一）制订严密的变更处理流程，明确变更控制中各岗位的职责，并遵循流程实施控制和管理；变更前应明确应急和回退方案，无授权不得进行变更操作；

（二）根据变更需求、变更方案、变更内容核实清单等相关文档审核变更的正确性、安全性和合法性；

（三）应采用软件工具精确判断变更的真实位置和内容，形成变更内容核实清单，实现真实、有效、全面的检验；

（四）软件版本变更后应保留初始版本和所有历史版本，保留所有历史的变更内容核实清单。

第四十八条第四十八条 银行业金融机构在信息系统投产后一定时期内，应组织对系统的后评价，并根据评价及时对系统功能进行调整和优化。

第四十九条第四十九条 银行业金融机构应对机房环境设施实行日常巡检，明确信息系统及机房环境设施出现故障时的应急处理流程和预案，有实时交易服务的数据中心应实行24小时值班。

第五十条第五十条 银行业金融机构应实行事件报告制度，发生信息系统造成重大经济、声誉损失和重大影响事件，应即时上报并处理，必要时启动应急处理预案。

第六章 外包风险控制

第五十一条第五十一条 外包风险是指银行业金融机构将信息系统的规划、研发、建设、运行、维护、监控等委托给业务合作伙伴或外部技术供应商时形成的风险。

第五十二条第五十二条 银行业金融机构在进行信息系统外包时，应根据风险控制和实际需要，合理确定外包的原则和范围，认真分析和评估外包存在的潜在风险，建立健全有关规章制度，制定相应的风险防范措施。

第五十三条第五十三条 银行业金融机构应建立健全外包承包方评估机制，充分审查、评估承包方的经营状况、财务实力、诚信历史、安全资质、技术服务能力和实际风险控制与责任承担水平，并进行必要的尽职调查。评估工作可委托经国家相应监管部门认定资质，具有相关专业经验的独立机构完成。

第五十四条第五十四条 银行业金融机构应当与承包方签订书面合同，明确双方的权利、义务，并规定承包方在安全、保密、知识产权方面的义务和责任。

第五十五条第五十五条 银行业金融机构应充分认识外包服务对信息系统风险控制的直接和间接影响，并将其纳入总体安全策略和风险控制之中。

第五十六条第五十六条 银行业金融机构应建立完整的信息系统外包风险评估与监测程序，审慎管理外包产生的风险，提高本机构对外包管理的能力。

第五十七条第五十七条 银行业金融机构的信息系统外包风险管理应当符合风险管理标准和策略，并应建立针对外包风险的应急计划。

第五十八条第五十八条 银行业金融机构应与外包承包方建立有效的联络、沟通和信息交流机制，并制定在意外情况下能够实现承包方的顺利变更，保证外包服务不间断的应急预案。

第五十九条第五十九条 银行业金融机构将敏感的信息系统，以及其他涉及国家秘密、商业秘密和客户隐私数据的管理与传递等内容进行外包时，应遵守国家有关法律法规，符合银监会的有关规定，经过董事会或其他决策机构批准，并在实施外包前报银监会及其派出机构和法律法规规定需要报告的机构备案。

第七章 审 计

第六十条第六十条 银行业金融机构内设审计部门负责本机构信息系统审计，也可聘请经国家相应监管部门认定资质的中介机构进行信息系统外部审计。

第六十一条第六十一条 信息系统风险审计应包括：总体风险审计、系统审阅和专项风险审计。

第六十二条第六十二条 总体风险审计是指对本机构所有信息系统共有的公共部分进行审计，实施总体风险控制。根据信息系统的总体风险状况确定审计频率，但至少每3年审计一次。

第六十三条第六十三条 信息系统的系统审阅是指对研发、运行及退出的全过程进行审计，分投产前与投产后的审阅。

第六十四条第六十四条 投产前的系统审阅是指审计人员采用非现场形式，对信息项目开发过程中所提交的有关文档资料进行审阅，指出其中存在的风险，了解是否具有相应的控制措施，并提出评价和建议的过程。信息系统投产前的系统审阅应关注信息系统的安全控制、权限设置、正确性、连贯性、完整性、可审计性和及时性等内容。

投产前的系统审阅重点：

（一）被外界成功攻破的可能性；

（二）在内部安全控制方面的设计漏洞与缺陷；

（三）项目开发管理方面的问题；

（四）效率与效能；

（五）功能、设计和工作流程是否符合法律、法规和内部控制方面的规定并有连续兼容性；

（六）其他需重点审阅的内容。

第六十五条第六十五条 投产前的系统审阅文档资料包括：

（一）项目可行性报告；

（二）项目需求说明书；

（三）项目功能说明书（包括业务与技术方面存在的风险及控制办法）；

（四）项目总体技术框架；

（五）项目设计说明书；

（六）项目实施计划；

（七）与第三方签订的外包协议；

（八）测试计划及验收报告；

（九）投产计划；

（十）项目开发例会的会议记录；

（十一）操作手册；

（十二）其他需审阅的文档资料。

对于所含内容较多的文档资料，应对关键交易的数据处理流程、交易接口和其他重要的安全事项进行审阅。

第六十六条第六十六条 投产后的系统审阅是指在信息系统投入生产一段时间后进行的审计，旨在评估对信息系统各项风险的控制是否恰当，能否实现预定的设计目标。投产后的系统审阅应在信息系统投入生产半年后进行，审计报告应对被审计的信息系统提出改进或增加风险控制、能否继续生产等内容的审计建议。

第六十七条第六十七条 信息系统专项风险审计是指对被审计单位发生信息安全事故进行的调查、分析和评估，或原有信息系统进行重大结构调整的审计，或审计部门认为需要对信息系统某项专题进行审计。

第六十八条第六十八条 银行业金融机构信息系统风险审计也可以由银监会及其派出机构依据法律、法规和规章，委托并授权有法定资质的中介评估机构进行。

第六十九条第六十九条 中介机构根据银监会或其派出机构委托或授权对银行业金融机构进行审计时，应出示委托授权书，并依照委托授权书上规定的委托和授权范围进行审计。

第七十条第七十条 中介机构根据授权出具的审计报告经银监会及其派出机构审阅确定后具有法律效力，被审计金融机构应对该审计报告在法定时间内提出整改意见，并按审计报告中提出的建议进行及时整改。

第七十一条第七十一条 中介机构应严格执行法律法规，保守被审计单位的商业秘密和风险信息。审计过程中所有涉及资料的调阅应有交接手续，并不得带离现场或进行修改、复制。

第八章 附 则

第七十二条第七十二条 本指引由中国银行业监督管理委员会负责解释、修订。

第七十三条第七十三条 本指引自颁布之日起施行。

本内容来源于政府官方网站，如需引用，请以正式文件为准。