银监会：商业银行现场检查手册

第一篇：银监会：商业银行现场检查手册

商业银行现场检查手册

第一章 现场检查基本原理

第一节 现场检查的目的和作用

第二节 现场检查的原则

第三节 现场检查的内容

第四节 现场检查的种类与方法

第五节 现场检查抽样

第六节 现场检查的法律事务

第二章 现场检查操作流程

第一节 第二节 第三节 第四节 第五节 第三章 第一节 第二节 第三节 第四节 第五节 第六节 第七节 第八节 第九节 第十节 第四章 第一节 第二节 第三节 第四节 第五节 第六节 第七节 第八节 第九节 第五章 第一节 现场检查准备阶段 现场检查实施阶段 现场检查报告阶段 现场检查处理阶段 检查档案整理阶段

货款及表内其他授信业务 综述

授信管理

货款风险分类

货款集中、关联企业货款和关联交易 公司授信 贸易融资 房地产货款 银团货款 项目融资

个人授信业务 非信资产 综述 存放

拆放同业

证券和投资 固定资产

无形及递延资产 应收款

现金及银行存款 抵债资产

存款及表内其他负债 综述

第二节 存款

第三节 第四节 第五节 第六章 第一节 第二节 第三节 第四节 第五节 第七章 第一节 第二节 第三节 第四节 第五节 第六节 第七节 第八节 第九节 同业存放、拆入 证券融资 其他负债 财务管理 综述

财务计划检查

营业收入、成本与费用 资产减值准备 利润及利润分配 中间业务

综述

票据业务 结售汇业务 信用证

银行卡业务 代理业务

银行承兑汇票

保函与备用信用证 货款承诺

第十节 交易类中间业务 第十一节 基金托管业务 第十二节 咨询顾问业务 第十三节 代保管业务 第八章 电子银行 第一节 综述

第二节 网上银行业务 第三节 电话银行业务 第四节 手机银行业务 第五节 ATM、POS机业务 第九章 第一节 第二节 第三节 第四节 第十章 第一节 第二节 资金清算 综述

同业往来

联行往来业务 国际清算 资本充足率 综述

资本充足率检查

第三节 监管评级监管措施

第十一章 流动性管理 第一节 综述

第二节 流动性检查

第三节 流动性评价及监管措施 第十二章 市场风险 第一节 综述

第二节 市场风险管理法

第三节 市场风险检查程序与方法

第十三章 对商业银行境外机构的现场检查 第一节 跨境监管概述

第二节 我国对商业银行跨境监管的规定 第三节 商业银行对镜外机构的管理 第四节 商业银行境外机构

第五节 与其他监管当局的信息交流与合作 第十四章 公司治理 第一节 综述

第二节 法人治理机制 第三节 高级管理层评价

第四节 对分支机构和相关机构的管理 第五节 内部审计

第六节 经营战略与政策 第十五章 内部控制 第一节 综述

第二节 资产负债管理

第三节 管理信息系统与会计系统 第四节 人力资源管理 第五节 计算机系统管理 第六节 安全保卫

第十六章 商业银行风险评估 第一节 综述

第二节 银行面临的八类风险评估 第三节 银行风险管理水平评估 第四节 银行整体风险综合评估 第十七章 商业银行风险评级 第一节 综述

第二节 ROCA评级体系各要素评估 第三节 CAMELS评级体系各要素评估

第四节 压力测试

第五节 风险预警 第六节 监管措施

附件：现场检查前问卷 后记

第二篇：银监会枪支弹药现场检查实施细则

中国银监会银行业金融机构枪支、弹药管理及使用情况现场检查实施细则

根据《中国银监会办公厅关于印发 2010 年两项安全保卫现场检查方案的通知》（银监办发[ 2010 ] 153 号）要求，特制定银行业金融机构枪支、弹药（以下简称枪弹）管理及使用情况现场检查实施细则。

一、检查目的

（一）摸清银行业金融机构持有的枪弹底数，查找、分析存在问题和薄弱环节，准确把握银行业金融机构在枪弹管理及使用中的总体情况。

（二）督促银行业金融机构加强枪弹管理，规范枪弹使用流程，严防枪弹丢失、被盗（抢）及滥用枪弹事件的发生，保障公共安全，维护社会稳定。

二、检查对象和范围

（一）所有持有枪弹的银行业金融机构；

（二）银行业金融机构持有的所有枪弹。

三、检查内容及方法

（一）枪弹数量、枪支与 《枪证 》 是否一致，枪弹数量（含报废或封存枪弹）是否账实相符。检查方法：核对枪支和 《 枪证 》，实地盘点枪弹数量。、报废或封存枪弹未及时向公安机关缴销的原因。

检查方法：询问被检查的银行业金融机构并要求提供相关证明文件或资料。

（二）枪弹保管

l、是否有专门的枪弹保管库（室）或者专用保险柜，枪弹保管库（室）出入口是否安装防盗安全门、与 110 报警服务台相连的紧急报警装置和入侵报警装置、监控是否到位、有效。

检查方法：实地察看，调阅监控录像。要点：“三铁一器一监控”:铁窗、铁门、铁柜、报警、监控、是否建立枪弹保管、领用制度，是否对枪弹实行集中统一保管、分开存放、实行双人双锁和 24 小时值班（含远程监控值守）

检查方法：实地察看，查阅有关制度、值班记录和枪弹领用、缴回登记。

要点：双人双锁；农信网点的枪弹管理常常存在钥匙随意存放的问题。3、是否对枪弹进行定期查验和保养。检查方法：查阅查验维护记录。

（三）枪弹使用

1、是否制定执行守押任务中发生突发事件的处置预案。检查方法：要求被检查银行业金融机构提供并查阅。、在执行任务时，持枪人员是否随身携带《 枪证 》、《 公务用枪持枪证）)

检查方法：实地查验或枪、证扎差核对。、持枪人员是否熟练掌握处置突发事件时的枪弹使用规定。检查方法：随机抽取持枪人员进行询问。

（四）持枪人员管理、是否持有 《 公务用枪持枪证 》，证件是否在有效期内。检查方法：查验证件。

要点：证件过期常常原因在公安方面，如能提供相关已申请验证的文件，可免责。

2、是否进行法制和安全教育，定期组织培训。检查方法：查阅教育或培训记录。

3、是否熟练掌握枪弹使用和保养技能。

检查方法：随机抽取持枪人员进行询问或演示。

（五）“软件”方面

1、是否签订枪支弹药管理安全责任书。

2、是否签订枪弹库消防安全责任书。

3、是否制定枪弹领用审核制度及领用登记制度。

4、是否制定枪弹被盗、被抢应急预案及报告制度。检查方法：实地查验。

四、现场检查实施步骤

现场检查按照以下步骤展开：

（一）下发 《 现场检查通知书）)。

（二）现场检查会谈。召集被检查的银行业金融机构进行现场检查会谈，通报现场检查的内容、方式，提出需要被检查的银行业金融机构配合的事项。现场检查会谈时，现场检查人员应做好 《 现场检查会谈记录 》，并由会谈各方签字。

（三）进入现场。现场检查时，应从检查内容、发现的问题、评价和意见等三个方面认真记录现场检查工作底稿，对发现的问题，应及时制作 《 现场检查事实确认书 》，并由被查机构地市级分支机构和法人机构负责人签注意见。

（四）汇总检查情况。检查组按照机构类别汇总现场检查情况，分别向被检查辖区的法人机构下发 《 现场检查事实与评价 》，通报检查核实的事实与评价意见，并认真听取被检查的银行业金融机构的反馈意见。

（五）出具检查意见。根据 《 现场检查事实与评价 》 和被检查的银行业金融机构的反馈意见，以省分行、法人、省（直辖市）联社为单位，向被检查的银行业金融机构下发 《 现场检查意见书）)。

（六）上报检查情况。形成现场检查报告并附附件 1 一 2 上报银监会安全保卫局汇总。

五、检查要求

（一）本次现场检查与 《 邮政储蓄银行、农村金融机构营业网点、业务库安全情况现场检查方案 》 同步实施。由于检查涉及的营业网点多、地区跨度大，各检查组要精心组织、周密部署，制定可行的现场检查办法，统筹安排检查时间，合理配置监管资源，切实提高现场检查的效率和质量。

（二）在检查中，为确保安全，现场检查人员不得直接接触各类枪弹，需要查验枪弹的，由持枪人员操作，现场检查人员监督。

（三）各银监局要针对检查中发现的问题和风险点，深入查找原因和管理漏洞，在查清、查实、查透的基础上，从管理机制、制度建设等方面提出整改建议和要求，督促被查机构及时整改，切实加强枪弹管理。

（四）各银监局上报现场检查报告应包括基本情况、总体评价、存在问题及成因分析、监管建议等内容。

六、检查依据

（一）《 中华人民共和国银行业监督管理法）);

（二）《 企业事业单位内部治安保卫条例）);

（三）《 中华人民共和国枪支管理法）);

（四）《 公务用枪配备办法 》（2002 年 8 月 28 日公安部重新发布）;

（五）《 中华人民共和国公安部、中国人民银行关于银行系统换装防暴枪工作的通知 》

2（公治 〔 1999 〕 1389 号）

（六）《 中国银监会办公厅关于进一步加强枪支管理工作的通知 》（银监办通 〔 2008 〕 85 号）:

（七）《 专职守护押运人员枪支使用管理条例 》（中华人民共和国国务院令第 356 号）。

第三篇：中国银监会现场检查暂行办法

《中国银监会现场检查暂行办法》（2016年2月14日起施行）

中国银监会令 2015年第10号

《中国银监会现场检查暂行办法》已经中国银监会2015年第20次主席会议通过。现予公布，自2016年2月14日起施行。

2015 年12月10日

中国银监会现场检查暂行办法

第一章 总 则

第一条 为加强对银行业的监督管理，规范现场检查行为，提升现场检查质效，促进银行业健康发展，根据《中华人民共和国银行业监督管理法》、《中华人民共和国商业银行法》等有关法律法规，制定本办法。

第二条 本办法所称现场检查，是指银监会及派出机构派出检查人员在银行业金融机构的经营管理场所以及其他相关场所，采取查阅、复制文件资料、采集数据信息、查看实物、外部调查、访谈、询问、评估及测试等方式，对其公司治理、风险管理、内部控制、业务活动和风险状况等情况进行监督检查的行为。第三条 现场检查是银监会及派出机构监管流程的重要组成部分，通过发挥查错纠弊、校验核实、评价指导、警示威慑等功能，督促银行业金融机构贯彻落实国家宏观政策及监管政策，提高经营管理水平、合法稳健经营，维护银行业金融机构和体系安全，更好服务实体经济发展。

第四条 银监会及派出机构开展现场检查应依照法律、行政法规、规章和规范性文件确定的职责、权限和程序进行。

第五条 银监会及派出机构和实施现场检查的人员（以下简称检查人员）依法实施现场检查，应当客观公正，实事求是，忠诚履职，廉洁奉公，保守秘密。

银监会及派出机构应加强现场检查纪律和廉政制度建设，加强对检查人员廉洁从政情况的监督。

第六条 银监会及派出机构依法开展现场检查，被查机构及其工作人员应当配合，保证提供的有关文件资料真实、准确、完整、及时，不得拒绝、阻碍和隐瞒。检查期间，被查机构应为现场检查工作提供必要的办公条件和工作保障。

被查机构及其工作人员未经银监会及派出机构同意，不得将检查情况和相关信息向外透露。

第七条 本办法所指现场检查包括全面检查、专项检查、后续检查、临时检查和稽核调查。

全面检查是在一定周期内对法人机构公司治理、经营管理和业务活动及其风险状况进行的全面性检查，原则上每5年至少安 排一次。

专项检查是对被查机构某些业务领域、区域进行的专门检查。

后续检查是对被查机构以往现场检查中发现的重大问题整改落实情况进行的检查。

临时检查是根据上级部门重大工作部署或针对银行业金融机构的重大突发事件开展的检查。

稽核调查是采用现场检查方法对特定事项进行专门调查的活动。

第八条 银监会及派出机构应建立和完善现场检查管理信息系统，实现检查资源共享，提高现场检查效率。

第九条 银监会及派出机构应严格按照法律法规规定的程序编制现场检查项目经费预算，合规使用检查费用。

第十条 银监会及派出机构应配备与承担的检查任务相适应的检查力量，加强现场检查专业人才培养，提升现场检查水平，将现场检查作为培养银行业监管队伍和提高监管能力的重要途径。

第十一条 银监会及派出机构在现场检查工作中应加强沟通协调，建立有效的现场检查联动机制。

第二章 职责分工 第十二条 银监会及派出机构按照“谁立项、谁组织、谁负责”的工作机制，开展现场检查。

第十三条 银监会负责统筹全系统现场检查工作，组织对全国性银行业金融机构的现场检查，组织全系统重大专项检查、临时检查和稽核调查，对地方性法人机构的现场检查进行统筹和指导，对派出机构的现场检查工作进行考核和评价。

第十四条 各派出机构负责统筹辖内现场检查工作，组织对辖内银行业金融机构的现场检查，组织全辖专项检查、临时检查和稽核调查，完成上级部门部署的现场检查任务，对下级部门的现场检查工作进行指导、考核和评价。

第十五条 根据需要，银监会可对银监局或银监分局监管的机构、银监局可对辖内银监分局监管的机构直接开展现场检查。

第十六条 银监会现场检查部门负责现场检查的归口管理。银监会及派出机构承担现场检查职责的部门负责现场检查立项，组织实施现场检查，提出现场检查处理意见，评估被查机构整改情况，就现场检查情况及时与机构监管、功能监管等部门进行沟通。

银监会及派出机构的机构监管、功能监管等部门，根据自身职责，配合开展现场检查工作，负责提出现场检查立项建议，提供现场检查所需的数据、资料和相关信息，并可根据需要开展有关的现场检查，跟踪检查意见的整改情况。

第十七条 银监会及派出机构应加强与政府相关部门的工作 联动，沟通检查情况，依法共享检查信息，必要时可联合其他部门开展对银行业金融机构相关业务领域的现场检查。

第十八条 银监会及派出机构在开展跨境现场检查时，应根据监管备忘录等合作协议的规定，加强与境外监管机构的沟通协作。

第三章 立项管理

第十九条 银监会及派出机构应加强现场检查立项管理，根据银行业金融机构的依法合规情况、评级情况、风险状况和以往检查情况等，确定对其现场检查的频率、范围，确保检查项目科学、合理、可行。未经立项审批程序，不得开展现场检查。

第二十条 银监会现场检查部门应在征求机构监管、功能监管等部门以及各银监局意见基础上，结合检查资源情况，制定现场检查计划，报主席会议审议决定或由银监会主要负责人签发。

第二十一条 银监会按制定现场检查计划，现场检查计划一经确定原则上不作更改。

列入计划的个别项目确需调整的，应当说明调整意见及理由，每年中期集中调整一次。调整时，对于银监会负责的项目，应经银监会负责人审批；对于派出机构负责的项目，经银监局负责人审批同意后，应按要求向银监会现场检查部门报告。第二十二条 经银监会或银监局主要负责人批准，银监会或银监局可立项开展临时检查。

各银监局应在临时检查立项后10个工作日内，将立项情况向上级部门报告。

第二十三条 稽核调查可纳入现场检查计划，也可适用临时检查立项程序。

第四章 检查实施

第二十四条 银监会及派出机构组织实施现场检查可采取以下方式：

（一）由立项单位组织人员实施；

（二）由上级部门部署下级部门实施；

（三）对专业性强的领域，可要求银行业金融机构选聘符合条件的第三方机构进行检查，并将检查结果报告监管部门；

（四）采用符合法律法规及规章规定的其他方式实施。第二十五条 银监会及派出机构依法组织实施现场检查时，检查人员不得少于二人，并应当出示合法证件和检查通知书。

检查人员少于二人或未出示合法证件和检查通知书的，银行业金融机构有权拒绝检查。

第二十六条 银行业金融机构及相关人员存在不配合检查、不如实反映情况或拒绝、阻碍检查等行为的，银监会及派出机构 可根据情节轻重，对相关机构和个人依法采取监督管理措施和行政处罚。

第二十七条 现场检查人员执行现场检查任务时，应当保持应有的独立性，存在影响或者可能影响依法公正履行职责情况的，应实行回避，不得参加相关事项的讨论、审核和决定，不得以任何方式对相关事项施加影响。

被查机构认为检查人员与其存在利害关系的，有权申请检查人员回避。

第二十八条 银监会及派出机构应当在实施现场检查前组成检查组，根据检查任务，合理配备检查人员。

检查组实行组长负责制。检查组组长在检查组成员中确定主查人，负责现场检查工作的具体组织和实施。

第二十九条 检查组根据检查项目需要，开展查前调查，进行检查分析和模型分析，制定检查方案，做好查前培训。

第三十条 检查组应提前或进场时向被查机构发出书面检查通知，组织召开进点会谈，并向被查机构提出配合检查工作的要求。同时由检查组组长或负责人宣布现场检查工作纪律和有关规定，告知被查机构对检查人员履行监管职责和执行工作纪律、廉政纪律情况进行监督。

第三十一条 检查人员应按要求做好工作记录、检查取证、事实确认和问题定性。

第三十二条 检查过程中，应加强质量控制，做到检查事实 清楚、问题定性准确、责任认定明晰、定性依据充分、取证手续齐全。

第三十三条 检查组可通过事实确认书、检查事实与评价等方式就检查过程中发现的问题与被查机构交换意见。

承担现场检查职责的部门与相关部门应加强对检查情况的沟通。

第三十四条 检查结束后，检查组应制作现场检查工作报告，并向被查机构出具现场检查意见书。必要时，可将检查意见告知被查机构的上级管理 部门或被查机构的董事会、监事会、高级管理层或主要股东等。

第三十五条 检查人员应当认真收集、整理检查资料，将记录检查过程、反映检查结果、证实检查结论的各类文件、数据、资料等纳入检查档案范围。

第三十六条 稽核调查参照一般现场检查程序，根据工作要求和实际情况，可以简化流程，不收集证据，不与调查对象交换意见，不出具检查工作报告和检查意见书，以调查报告作为稽核调查的成果。

调查过程中如发现涉及需要采取监管措施或行政处罚的事项，应当按照相关要求收集证据，并依程序进行处理。

第三十七条 对于有特殊需要的现场检查项目，经检查组组长确定，可适当简化检查程序，包括但不限于不进行查前培训、不组织进点会谈等。

第五章 检查方式

第三十八条 检查过程中，检查人员可查阅文件和资料、查看经营管理场所、采集数据信息、测试有关系统设备设施、访谈或询问相关人员，并可根据需要，收集原件、原物，进行复制、记录、录音、录像、照相等。

对可能被转移、隐匿或者毁损的文件、资料，经检查组组长同意可以封存。

第三十九条 银监会及派出机构应持续完善检查分析系统，充分运用信息技术手段，开展检查分析，实施现场检查，提高现场检查质效。

银行业金融机构应按照银监会及派出机构要求，完成检查分析系统所需数据整理、报送等工作，保证相关数据的真实、准确、规范和及时。

第四十条 检查人员可就检查事项约谈银行业金融机构外聘审计机构人员，了解审计情况。

银行业金融机构外聘审计机构时，应在相关合同或协议中明确外聘审计人员有配合银监会及派出机构检查的责任。

第四十一条 检查组可抽调被查机构内审人员参与现场检查，被查机构应予以配合。必要时，可要求银行业金融机构内审部门对特定项目进行检查。内审部门应按照监管要求实施检查、形成报告报送监管部门。银监会及派出机构应加强检查指导，对检查实行质量控制和评价。

第四十二条 检查过程中，为查清事实，检查组需向除被查机构以外的其他银行业金融机构了解情况的，可要求相关机构予以配合。

经银监会现场检查部门相关负责人批准，检查人员可直接向相关银行业金融机构了解情况，也可委托相关机构所在地银监局予以协助。

涉及跨银监局辖区的协查事项，经银监局相关负责人批准，可发函要求相关机构所在地银监局予以协助。银监局辖内的协查事项，由各银监局自行确定相关程序和要求。

协查人员负责调取相关资料，查明相关情况，检查责任由检查组承担。

第四十三条 银监会及派出机构依法对银行业金融机构进行检查时，为了查清涉嫌违法行为，经设区的市一级以上银行业监督管理机构负责人批准，可以根据《中华人民共和国银行业监督管理法》的规定对相关单位和个人进行调查。

第四十四条 银监会及派出机构行使相关调查权应当符合以下条件：

（一）在检查中已获取银行业金融机构或相关人员涉嫌违法的初步证据；

（二）相关调查权行使对象限于与涉嫌违法事项有关的单位 和个人。

第四十五条 与涉嫌违法事项有关的单位和个人包括与涉嫌违法行为有直接关系的民事主体，也包括没有参与违法行为，但掌握违法行为情况的单位和个人。主要指：

（一）银行业金融机构的股东、实际控制人、关联企业和个人等；

（二）银行业金融机构的客户及其交易对手等；

（三）为银行业金融机构提供产品和服务的企业、市场中介机构和专业人士等；

（四）通过协议、合作、关联方关系等合法途径扩大对银行业金融机构的控制比例或巩固其控制地位的自然人、法人或其他组织；

（五）其他与银行业金融机构涉嫌违法事项有关的单位和个人。

第四十六条 开展相关调查时，调查人员不得少于二人，并应当出示合法证件和调查通知书。

调查人员少于二人或未出示合法证件和调查通知书的，有关单位或者个人有权拒绝调查。

第四十七条 开展相关调查时，调查人员可采取下列措施：

（一）询问有关单位或者个人，要求其对有关情况作出说明；

（二）查阅、复制有关财务会计、财产权登记等文件、资料；

（三）对可能被转移、隐匿、毁损或者伪造的文件资料，予 以先行登记保存。

第四十八条 调查人员依法开展相关调查时，被调查单位和个人应当配合，如实说明有关情况，并提供有关文件、资料，不得拒绝、阻碍和隐瞒。

阻碍银监会及派出机构工作人员依法执行调查任务的，由银监会及派出机构提请公安机关依法给予治安管理处罚，构成犯罪的，依法追究刑事责任。

第六章 检查处理

第四十九条 对于检查中发现的问题，银监会及派出机构应在检查意见书中责令被查机构限期改正。被查机构应在规定时间内，向决定作出机关提交整改报告。

第五十条 银监会及派出机构可将现场检查情况通报被查机构的上级部门或主要股东，也可以与被查机构的董事、监事、高级管理人员进行监管谈话，要求其就检查发现的问题作出说明和承诺。

第五十一条 银监会及派出机构在检查中发现被查机构存在违反法律法规、审慎经营规则情形的，应依法采取《中华人民共和国银行业监督管理法》规定的监管措施。

第五十二条 银监会及派出机构在现场检查中发现涉及行政处罚的违法违规行为的，应按照《中华人民共和国银行业监督管 理法》和《中国银监会行政处罚办法》的规定办理。

第五十三条 银监会及派出机构在现场检查中发现银行业金融机构及其工作人员、客户以及其他相关组织、个人涉嫌犯罪的，应当根据银监会有关规定，依法向公安机关、人民检察院等部门移送。

第五十四条 检查结束后，承担现场检查职责的部门应将现场检查意见书及时抄送机构监管部门及其他相关部门。机构监管部门应根据检查意见，督促被查机构落实整改要求。必要时，可设立一定的整改观察期。

第五十五条 承担现场检查职责的部门负责对被查机构整改情况进行评估。评估过程中，可查阅被查机构的整改报告、要求被查机构补充相关材料、约谈被查机构相关人员、听取机构监管部门等相关部门意见，必要时可进行后续检查。

第五十六条 被查机构未按要求整改的，银监会及派出机构可根据《中华人民共和国银行业监督管理法》规定采取监管措施或进行行政处罚。

第五十七条 银监会及派出机构应当加强对检查情况和整改情况的统计、分析，建立现场检查信息反馈和共享机制，以及本次现场检查与以往检查结果、后续现场检查部署的衔接和研判机制。

对于检查中发现的普遍性、系统性风险和问题，应及时采取监管通报、风险提示等措施。对于检查中发现的监管机制和制度存在的问题，应及时提出修订和完善监管机制与制度的建议。

第五十八条 银监会及派出机构应将现场检查发现的情况和问题，在被查机构的监管评级和风险评估中反映，必要时相应调整被查机构的监管评级和风险评估，并在市场准入工作中予以参考。

第五十九条 银监会及派出机构有权按照相关规定，在一定范围内披露检查信息。

第七章 考核评价

第六十条 银监会及派出机构应建立现场检查工作质量控制和考核评价机制，对检查立项的科学性、检查实施的合规性、检查成果的有效性以及现场检查人员的履职尽责情况等进行质量控制和考核评价。

第六十一条 银监会及派出机构应建立现场检查正向激励机制，对于检查能力突出、查实重大违法违规问题、发现重大案件或重大风险隐患、挽回重大经济损失的检查人员，可给予表彰奖励。

第六十二条 银监会及派出机构应当按照权责一致、宽严适度、教育与惩戒相结合的原则，完善现场检查工作问责和免责机制。对于在现场检查工作中不依法合规履职的，应在查清事实的 基础上依照有关法律法规及银监会履职问责有关规定，对相关检查人员予以问责。对于有证据表明检查人员已履职尽责的，免除检查人员的责任。

第六十三条 对于滥用职权、徇私舞弊、玩忽职守、泄露所知悉的被查机构商业秘密等严重违反现场检查纪律的人员，依法给予行政处分；构成犯罪的，依法追究刑事责任。

第八章 附 则

第六十四条 银监会及派出机构根据日常监管需要，开展的信访举报和投诉核查、行政处罚立案调查、监管走访、督查或调研等活动，不属于本办法规定的现场检查。

第六十五条 本办法所称银行业金融机构，包括： 在中华人民共和国境内依法设立的政策性银行和商业银行、农村信用社等吸收公众存款的金融机构；

在中华人民共和国境内依法设立的金融资产管理公司、信托公司、企业集团财务公司、金融租赁公司以及经银监会及派出机构批准设立的其他非银行金融机构；

经银监会及派出机构批准在境外设立的金融机构。第六十六条 银监会及派出机构可以根据自身职责，依照本办法制定现场检查规程和实施细则。

第六十七条 本办法由银监会负责解释。第六十八条 本办法自2016年2月14日起施行。本办法施行前有关规定与本办法不一致的，以本办法为准。

第四篇：银监会信息系统现场检查指南

信息系统现场检查指南（架构）

为了规范和指导信息系统现场检查工作，提高信息系统现场检查的水平，确保信息系统 现场检查的质量，特制定本指南。

一、检查目的

（一）了解和掌握银行业金融机构信息系统管理组织体系、工作制和科技制度建设情况，以及从业人员有关业务、技术和安全培训情况，评价其信息科技管理组织水平；

（二）了解和掌握银行业金融机构信息安全保障体系和内部控制规程，信息系统风险管 理岗位责任制度和监督落实情况，评价其计算机安全管理水平；

（三）了解和掌握银行业金融机构信息系统在研发过程中项目管理和变更管理情况，关 注规划、需求、分析、设计、编程、测试和投产以及外包等产生风险的环节，评价其管理水平；

（四）了解和掌握银行业金融机构信息系统在信息系统运行和操作制度建设和执行情况，促进银行业金融机构完善内控环境，控制和化解操作风险；

（五）了解和掌握银行业．金融机构信息系统在业务持续性计划方面制度建设和执行情 况，促进银行业金融机构信息系统信息科技风险管理涵盖管理、维护的每个环节。

二、检查要点

（一）检查信息系统风险管理架构、内部组织结构和工作机制、岗位职责和制度的完善 性和有效性，评估信息科技规划和管理的水平，了解信息科技人才管理机制，分析业务、技 术和安全培训工作的及时性和有效性，确保合理及时地防范和控制信息系统组织、规划风险。

（二）检查信息安全管理的流程情况，分析相关系统用户管理制度、密码管理制度及网 络安全制度，测试系统所涉及操作系统和数据库及防火墙等安全设施的安全性，评估被检查 银行是否采取有效安全的保护措施保障信息的保密性、完整性和可用性。

（三）检查分析软件及项目开发管理制度，了解信息科技部门档案管理流程，审阅外包 项目涉及的软件质量验收标准，检查银行业金融机构信息系统风险管理效率及水平，评估系 统开发的流程、质量及安全的管理情况。

（四）检查信息系统运行和操作管理情况，检查系统监控层面的处理流程及各类系统参 数、生产环境变更的受控方式，评估系统运行和操作管理的风险状况，促进运行操作管理的 科学化、制度化和规范化，确保信息系统安全可靠的运行。

(五)检查业务持续性规划的制定情况，分析其是否明确定义了管理层关于维护信息系统 可用性及更新相关业务持续性计划的责任和义务，并制定了合适的负责人员。评估建设及实 施关于灾难恢复的组织机构、业务流程和应对措施的合理性。

三、检查内容

（一）信息科技公司治理和组织结构 1．制度建设

（1）检查银行是否根据国家和银监会有关信息系统管理制度制定了实施细则，分析制 度制定、审批、修订和发布等流程的规范性。

（2）检查信息科技相关规章制度、技术规范、操作规程建设情况。重点检查：各项制 度规章是否正式发文，内容是否涵盖规划、研发、建设、运行、维护、应急、外包、保密和 监控等范畴，是否明确相关人员的职责权限并实行最小授权的制约机制，是否建立制订后评 价程序或机制，现有的制度是否适应组织结构、业务管理、信息安全的需要。

（3）检查实施知识产权保护情况。重点检查：正版软件版本管理情况；国产自有知识 产权的软硬件的使用情况；信息化安全等级保护工作情况；自主知识产权信息化成果保护情 况。

2．组织结构

（1）检查银行业金融机构董事层、经理层的信息科技管理和风险管理组织架构。重点 检查：

①科技管理、持续科技风险管理程序及就科技管理稳健务实的手段、工作分工和职责； 负责信息系统的战略规划、重大项目和风险监督管理的领导层面或决策机构及信息科技部门 的建设情况；信息科技风险管理职责的归属以及管理情况；公司董事会及其相关专业委员会、经营管理层对信息科技工作和信息风险管理的职责、分工是否明确。

②该银行组织结构设计的战略定位，组织结构的合理性是否符合风险管理的需要；董事 会和高管层面是否重视科技管理和信息科技规划工作；了解董事会对信息科技所担负的职 责，管理层如何发挥对信息科技的监督和指导作用；辨析组织的灵活性以及角色与职责的清 晰程度，了解内部平衡监督和放权的关系；分析对安全、质量和内部控制等的组织定位。

(2）检查信息系统建设决策流程、总体策略制定和统筹项目建设的情况。重点检查：信 息系统建设规划中是否涵盖信息安全、运行管理、业务持续性计划等重要内容；评估近期、中期和远期关于信息科技的重大策略和目标的合理性。着重从以下几个方面了解：

①银行如何利用信息科技技术更好地为企业创新服务，在进行信息科技治理时如何贯彻 “以组织战略目标为中心’，的思想，确保信息科技资源与业务匹配；银行的信息科技投资 是否与战略目标相一致；是否合理配臵信息科技资源以实现面向服务的架构，核心业务系统 是否能满足银行变化的需求；业务流程如何整合信息科技流程，在关键战略决策中信息科技 的融入程度，确保无信息孤岛现象。

②信息科技规划中如何更好的控制风险，包括控制业务风险和控制由信息科技使用带来 的风险。是否在信息科技建设规划每个环节考虑到风险因素，满足银行最低风险控制需要； 是否考虑到风险管理系统的建设，特别是满足监管当局的监管需求；能否实现自动从业务或 风险系统中采集监管数据，以提高银行风险监管能力。

③根据银行信息科技现状和信息科技规划初步评估该行信息科技建设水平，比如可以按 信息资产规模分为落后型、发展型、追随型和领先型。

（3）检查高管层对本机构信息系统风险状况的控制程度。重点检查：是否定期组织内 部评估、审计、报告本机构信息系统风险状况；针对存在的风险状况是否采取相应的风险控 制措施，以及各项措施的卜具体内容环节、主要实施部门和评估结果；是否建立了对整改工 作的监督机制。

（4）检查科技管理队伍、技术应用队伍、风险管理队伍的建设情况。重点检查：人员 素质情况，包括科技管理、科技风险管理和技术人员的知识结构、年龄结构、专业结构；人 员在系统内的占比情况；内审部门是否有既懂科技又懂业务的审计人员，风险管理部门是否 有专职IT 人员和已获得上岗证书的信息安全管理员；对信息科技人员的行为规范管理情况。（5)检查科技队伍培训、激励等管理机制的建设执行情况。重点检查：培训规划和历史 记录，包括职业培训、岗前培训情况，相关职责所需专业知识和技能的实际符合情况；分析 信息科技人员从应聘、录用、培训、评估、晋升到解雇的整个从业历程是否合理、公平和透 明。

（二）信息安全管理 1.信息安全建设基本情况

（1)检查内部科技风险管理机构对信息系统面临的风险开展评估的情况。重点检查：通 过调阅该机构安全领导小组成立（或调整）的文件，其他与计算机安全相关的会议记录或文 件，了解该机构是否设立计算机信息系统安全领导小组并上报当地监督部门，是否充分履行 有关计算机安全管理和监督检查职责。

（2）检查服务承包商和提供商与相关法律、法规等的符合程度。重点检查：通过调阅

该机构所有承包商和服务提供商的详细资料和合同文本，确认所有承包商和服务提供商是否 符合法律法规要求，合同文本是否符合法律要求（如数据保护法规），是否明确各自的安全 责任，是否有确保业务资产的完整性和保密性的条款等。

（3)检查信息安全处理的原则、目标和要求的制度建设的完备性。重点检查：调阅与计 算机系统运行、安全保障和文档管理等相关规章制度，其范围除自行制定的制度还包括转发 的上级文件，审计是否建立必要的计算机安全制度，审核各类制度的科学性、严密性和可操 作性。

2.逻辑访问风险控制情况

（1)检查访问控制业务要求、策略要求和访问规则的制订情况。重点检查：通过阅读源 程序或第三方业务系统安全审计报告，确定该机构的业务系统是否制订访问控制的业务要 求、策略要求和访问规则，并确定其安全性、完备性。

(2)检查访问用户的注册管理制度。重点检查：是否制定了正式的用户注册和取消注册 程序，规范对所有多用户信息系统与服务的访问授权。是否使用唯一用户ID 使用户对其操 作负责（组ID 只有适合所进行的工作，才允许使用），用户离开组织时是否立即取消其用 户ID，是否定期检查并取消多余的用户ID 和帐户。

（3)检查访问用户的权限管理和权限检查流程。重点检查：是否建立了正式的用户的权 限管理和权限检查程序，系统所有者对信息系统或服务授予的权限是否合适业务的开展，所 授予的访问权限级别是否与组织的安全策略相一致，例如它会不会影响责任划分；用户因工 作变更或离开组织时是否立即取消其访问权限；用户权限设定是否采用双人复核；是否对用 户访问权限分配进行定期检查确保没有对用户授予非法权限。

（4）检查访问用户的口令管理。重点检查：是否采用了正式的管理程序来控制口令的 分配，是否确保一开始向他们提供一个安全的临时口令并要求他们立即更改口令，用户忘记 口令时是否在对该用户进行适当的身份识别后才能向其提供临时口令，是否还采用了其他的 用户身份识别和验证技术（如生物统计学中的指纹鉴定；建立新的用户，是否建立了申请审 批程序，并采用双人控制。

（5）检查访问用户的责任管理。重点检查：所有用户是否做到避免在纸上记录口令，只要有迹象表明系统或口令可能遭到破坏时是否立即更改口令，是否选用高质量的口令，是 否定期更改口令。

3.网络安全控制情况

（1）检查网络管理和网络服务的安全策略制定情况。重点检查：通过调阅网络建设文 档或第三方网络安全审计报告，确定该机构是否制定网络和网络服务的安全策略，并确定此 策略是否业务访问控制策略相一致。

（2）检查实施网络控制的安全手段。重点检查：通过调阅网络建设文档或第三方网络 安全审计报告，确定该机构是否制定网络控制的安全途径，并确定实施控制的路径的要求是 否是业务访问控制策略所必要的，是否通过专线或专门电话号码联网，是否自动将端口连接 到指定应用系统或安全网关，是否限制个人用户的菜单和子菜单选项，是否防止无限制的网 络漫游，是否强制外部网络用户使用指定应用系统和／或安全网关，是否为组织内用户组设 臵不同的逻辑域（如虚拟专用网）来限制网络访问。

（3)检查外部连接的用户身份验证方法。重点检查：是否通过使用加密技术、硬件标记 或问答协议对远程用户访问进行身份验证，对于专线用户是否安装了网络用户地址检查工具 来对连接源提供安全保障，对拨号用户是否使用反向拨叫程序和控制措施（如使用反向拨叫 调制解调器）可以防止与组织信息处理设施的非法连接和有害连接。

（4)检查远程诊断端口的保护情况。重点检查：是否使用适当的安全机制（如密钥锁）对诊断端口进行保护，保证它们只能在计算机服务管理员和要求访问的软硬件支持人员进行

适当的安排后才能访问。

（5）检查网络的划分和路由控制情况。重点检查：是否在网络内采用一些控制措施把 信息服务组、用户组和信息系统组分割成不同的逻辑网络域（如组织的内部网络域和外部网 络域），每个域都使用一个明确的安全界限来加以保护，是否在两个要互连的网络之间安装 一个安全网关可以实现这样的一个安全界限，从而控制两个域之间的访问和信息流动，是否 对该网关配臵，访问控制策略来阻止非法访问。

4．环境风险情况

（1）检查对保密设备和计算机机房进行安全保护的情况。重点检查：是否为保密设备 和计算机机房划分独立安全区域，安全保护区的没臵是否合理，是否建立全方位的安全防护，以防止有人未经授权进入安全区。

（2）检查安全区出入的控制措施和制度制定执行情况。重点检查：通过查阅制度和各 类文字或电子台帐，确定该机构是否有完备的安全区出入控制，是否经常审查并更新有关安 全区域访问权限的规定，是否将安全区域的来访者的身份、进入和离开安全区域的日期和时 间记录在案，是否有严格限定，经过授权的人才能访问敏感信息，是否有专人对出入控制措 施和制度的落实情况进行定期、不定期的检查。

（3)检查安全区内设备使用和维护管理情况。重点检查：是否按专业标准安装入侵检测 系统对无人区域进行24 小时的报警监视，由该机构自己管理的信息处理设备是否与由第三 方管理的信息处理设备分开，是否将危险或易燃材料存储在安全的地方，与安全区保持安全 距离，应急设备和备份介质的存储位臵与主安全区域是否保持一个安全距离，以防止主安全 区域发生的灾难事件殃及这些设备。

（4）检查安全区的防雷、电和火等安全措施实施情况。重点检查：通过调阅相关检测 报告维护记录，确定安全区是非通过配臵不间断电源设备、采用双路供电系统、配备发电机 等手段保障不间断性供电；其采用的各种方式是否能满足业务系统不间断供电需求，是否按 相关法规要求配备消防系统并保证其正常运行，是否安装必要的防雷设施并按要求做好接地 系统。

5.操作系统风险情况

（I）检查对登录用户和终端设备的访问控制策略。重点检查：核心业务系统用机的操 作系统是否能验证每个合法用户的终端或位臵，是否记录成功和失败的系统访问，是否提供 适当的身份验证方法，是否根据情况限制用户连接时间。

（2）检查用户身份识别和验证方法。重点检查：所有操作系统用户是否都有一个个人 专用的唯一标识符（用户ID),以便操作能够追溯到具体责任人，如业务系统必须可以为一 个用户组或一项具体工作使用共享用户ID，是否对此类进行严格的审批制度，并采用了相 应的控制措施，是否采用了先进安全的身份验证程序并建立相关安全机制以防止非法登录。(3）检查系统的漏洞检测和补丁安装的情况。重点检查：通过相应的漏洞检测工具，确 定该机构是否操作系统的安全是否进行加固，是否安装系统补丁与更新程序，是否关闭不必 要的服务和端口，是否安装防病毒软件，文件共享的访问控制权限设臵是否适当，是否定期 为操作系统进行安全漏洞检测，以分析系统的安全性，并采取补救措施。

(4)检查事件的日志记录和评审分析情况。重点检查：是否启用操作系统的审计功能和 安全策略，是否按要求存事件的日志记录，是否确定专人定期进行安全评审分析，以查找非 授权的应用程序运行、非授权的共享、可疑程序和可疑进程，计算机时钟设臵是否正确以保 证审计日志的准确性。

6.应用系统的风险情况

（1)检查输入和输出数据的验证情况。重点检查：是否对应用系统的数据输入进行验证，应用系统的标准数据调整及帐务数据修改是否规范，是否定期审查关键字段或数据文件的内

容，确认其有效性和完整性，是否检查硬拷贝输入文档是否有对输入数据进行非法变更（所 有对输入文档的变更应经过授权），是否明确规定参与数据输入过程的所有人员的责任。（2）检查存储数据的加密措施实施情况。重点检查：是否对核心业务系统采取了相应 的加密措施，其加密措施是否合理，加密密钥管理是否严格，中间业务和延伸业务的传输数 据是否加密，导入是否配有安全审计，是否对数据介质进行安全保护，对存有重要数据的故 障设备外修时是否有本单位人员在场监督，设备报废是否清除相关业务信息，对已过安全保 存期限的介质是否及时更新复制，废弃的数据介质是否由专人及时销毁。

（3）检查测试数据的安全措施实施情况。重点检查：通过调阅系统测试文档，确定测 试数据是否避免使用包含个人信息的操作数据库，如果使用这类信息，那么是否在使用前应 该做非个性化处理，在操作数据用于测试目的时，是否每次使用不同的授权，将操作信息复 制到测试应用系统，是否在测试完成后立即将操作信息从测试应用系统中清除，是否记录操 作信息的复制和使用情况，以便提供审计追踪。

（4）检查源代码的访问控制和审查情况。重点检查：是否将程序源库保存在生产系统 上，为每一个应用程序指定一个库保管员，信息科技支持人员是否可以不受限制地访问程序 源库，正在开发或维护的程序是否保留在操作程序源库中，更新程序源库和向程序员提供程 序源是否通过指定的库保管员来执行，并且获得信息科技支持管理员的授权，程序清单是否 保存在安全的环境中，是否实时维护访问程序程序库的审计日志记录，是否对旧版本的源程 序进行归档，明确指明使用创门操作的准确日期和时间及所有支持软件、作业控制、数据定 义和过程，维护和复制程序源库是否受严格的变更控制程序的约束。

（三）信息科技项目开发和变更管理 1.项目开发管理

（1)检查被检查机构在信息科技项目开发过程中组织、规划、需求、分析、设计、编程、测试和投产等环节的全周期管理机制。重点检查：制度建设是否对项目的审批流程、参与部 门的职责划分、时间进度、财务预算规划、质量检测、风险评估等内容进行严格规定；外部 技术资源申请是否有统一负责机构，如何授权职能处室进行归口管理。

（2）检查信息系统项目开发资料完备性。重点检查：系统项目建设是否成立项目工作 小组及其成员结构；系统建设项目需求说明书和项目功能说明书是否全面、系统；系统建设 完成后是否编写了操作说明书，是否具有项目验收报告；查阅被检查机构对新信息系统投产 后，所撰写后续评价，根据后续评价，检查有没有根据评价及时对系统功能进行调整和优化。

2.项目变更管理

（1）检查项目变更、系统升级和变更等环节的管理情况。重点检查：信息系统变更时，是否制订严密的变更处理流程，明确变更控制中各岗位的职责，遵循流程实施控制和管理； 变更前有否明确应急和回退方案；变更方案件、变更需求、软件版本变更后的初始版本和所 有历史版本是否妥善保管。

（2）检查系统变更方案、变更内容核实清单等相关文档的正确性、安全性和合法性。重点检查：对被检查机构系统升级和变更记录，变更后软件的初始版本和所有历史版本是否 妥善保管；对保留所有历史的变更内容核实清单进行核实；是否设定了独立的版本管理人员 复核版本的提交工作。

3.项目资料文档管理体系

重点检查：项目资料是否完整详尽，有无相应的档案资料的管理办法并执行；是否对项 目资料文档的管理情况进行定期审核，包括资料调阅、资料备份等；是否制定了项目资料文 档格式的标准化规范并执行。

4.系统设计开发外包缺陷管理

（1）检查业务外包管理制度、业务外包评估制度的制定执行情况。重点检查：对有关

外包风险的防范方法及措施，是否建立外包业务的应急机制，有无外包业务的应急计划和应 急预案。

（2)检查针对有关业务外包制定相应的管理和风险防范措施的情况。重点检查：是否建 立对承包方的评估机制；是否规定了代码编写规范和编码质量检查方案，从技术和编码两方 面对编码进行全面检查。

（3)检查被检查机构外包业务风险管理措施。重点检查：是否建立针对外包风险的应急 计划和预案，以确保在意外情况下能够实现承包方的顺利变更，保证外包服务不间断；是否 组织业务人员进行外包开发系统的培训以保障外包开发技术的移交工作。

（四）信息系统运行和操作管理 l．信息系统运行体系建设情况（1）运行体系的组织架构

检查被检查单位信息系统运行管理的组织架构和日常运作情况，对组织体系的科学性、合理性和运作的有效性作出评体。重点检查：架构是否合理、组织是否严密、职责是否明确、监督是否有力、管理是否有效，反应是否迅速、是否具有相互制约的机制等等。（2)运行体系的规划与制度

检查现有和计划投产的信息系统的运行规划的完备性。重点检查：生产故障和安全事件 的管理、职能部门及其职责、管理对象、事件报告、事件解决、事件反馈、汇总、分析、评 价和报告等。检查信息系统运行管理制度的完善性。重点检查：事件管理办法、问题管理办 法、变更管理办法、操作管理办法、数据管理办法、配臵管理办法、安全管理办法、机房管 理办法等。这些制度可以是自行．制定的，也可以转发上级的。重点审计制度的完整性、严 密性和可操作性，考察各项制度的贯彻、执行和落实情况。

（3)检查核心业务系统的持续性或阶段性监测情况。重点检查：建立核心业务系统持续 性或阶段性的监测、监控体系和系统性能的评估机制。

2.操作环境控制和预防性维护情况

（1)检查信息科技资产登记情况。重点检查：检查信息科技资产台帐是否包含完整和真 实的计算机资源配臵的静态基本信息和动态履历信息，是否做到帐帐相符、帐实相符，配臵 管理部门是否定期进行辖内计算机资源配臵台帐的清查核对。

静态基本信息包括：档案卡序号、计算机资源编码、型号、性能、具体配臵、、满配能 力（如硬件的满配能力、可扩充性，软件的支持情况，配臵参数的极限等）、用途、使用部 门和使用责任人、维护责任部门和生产商、经销商、服务商等；

动态履历信息包括：计算机资源配臵在生命周期各阶段经历过的各种管理流程信息。其 中计划制订、设备采购、合同管理、库房管理、安装验收、申领使用以及后面的调拨迁移、闲臵报废以及计算机资源配臵的维护履历、配臵履历、包含操作时间、操作部门、操作用户、具体操作及变更情况等信息。

（2）检查信息系统性能和容量的管理情况。重点检查：是否建立信息系统软、硬件性 能、处理能力以及存储容量等监测和跟踪措施，保证系统性能和容量有足够的安全冗余，防 止应处理负荷过重或存储容量不足影响信息系统安全、可靠运行；在给定的时间段内是否出 现过因上述原因造成重要业务系统停顿的情况以及相应的损失情况并完整记录。

(3）检查各类连接的物理位臵和交互关系的系统拓扑图。重点检查：连接信息系统所有 电子设备物理位臵和交互关系的系统拓扑图与系统实际配臵信息、系统结构图与物理布局的 一致性。

（4）检查应急方案制定情况，重点检查：重要信息系统应急方案，评估应急方案的科 学性、可操作性和实用性；模拟演练的记录，重点检查发现的问题和解决情况。

（5）检查运行、操作环境建设情况。重点检查：计算机房和网络中心的建设、配臵是

否符合有关国家标准，是否设立了独立的安全保护区，是否建立进入安全区的授权、登记制 度。安全防范和控制措施是否到位；重要和涉密设备是否臵于计算机房内，并具有严格的安 全防范和风险控制机制。

3.生产变更管理情况

（1)检查准则和规章制度制定执行情况。重点检查：通过查阅有关文件和相应的制度，了解生产变更的管理情况，着重了解是否明确了变更的职能部门以及相应的职责；是否制定 了相关的制度；制度的内容是否含盖了：变更申请、变更受理、变更方案、变更审批、变更 实施时间、变更实施、变更反馈和汇总、紧急变更、变更指标及评价、总结报告等关键内容 等等。

（2）检查审批授权机制和工作流程规范性。重点检查： ①生产变更的审批授权制度。生产变更是否按规定时间、要求报送审批部门审批或报备； 变更的实施是否得到授权；变更实施日期和时间是否符合制度规定等；对业务有可能造成影 响的变更，是否在变更实施前通知相关业务部门。

②工作流程。变更的工作流程是否合理、可行：是否贯穿变更申请一变更受理一变更方 案一变更审批一变更实施一变更反馈和汇总一变更指标及评价、总结报告等全过程，变更的 实施过程中是否严格按流程操作。

（3）检查登记、备案和存档情况。重点检查：查阅生产变更的档案，考察被检查机构 变更资料的登记、备案和存档是否规范。

（4）检查非计划性紧急变更的实施方案、备份和恢复制度。重点检查：非计划性紧急 变更实施前，变更牵头和实施部门是否制订简单的实施计划和验证、回退、恢复方案，其中 回退或恢复方案是否切实可行，风险是否可控；变更实施前是否进行相关的系统备份等。

4.信息科技操作风险控制措施

（1)检查风险控制机制和流程。重点检查：

①是否指定了各类应用系统的操作、管理工作流程，评估其合理性、规范性和科学性，是否采用软件工具对各类生产系统实施了版本控制。

②操作人员的岗位职责是否明确，相应的规章制度是否到位，如：档案管理、安全生产 管理、数据管理、应用操作管理、运行监控管理等等；

③操作人员在上岗前的培训情况：如是否经考试合格后才独立上岗；当信息系统结构或 操作流程发生重大变更时，是否及时对操作人员进行再培训等；

④是否具备以下文字或电子资料：运行情况日报、各类运行操作手册、紧急重大情况的 应急处理流程、操作人员排班表和工作交接单、详细操作日志、所有服务对象和技术支持部 门及人员的通讯录等；

⑤操作人员是否严格按照操作规程进行操作，如双人、复核、授权等，是否建立操作日 志且真实记录所有操作过程，并由本人签字；操作人员有无违反操作规程的行为，如：擅自 变更操作方法和操作步骤、在生产环境做任何未经授权的操作、操作人员在操作完毕后或离 开操作终端前没有退出自己的用户等。

⑥运行管理和实施部门是否设臵固定的值班电话、传真和电子信箱。⑦是否建立了操作人员的交接登记制度及实际履行情况记录。⑧有关操作管理的档案管理情况。

（2）检查人力资源管理情况。重点检查：有关运行、操作、管理人员配臵的整体情况，人力资源的有效利用和合理配臵程度，有关人员调离、岗位轮动的风险控制情况等。

（3)检查信息资料档案管理情况。重点检查：有关科技文档的收集、整理、移交、归档、保管、使用、鉴定和销毁等是否符合相关规定，科技信息资料档案管理是否规范。

5.日志管理情况

7（l）检查日志采集情况。重点检查：核心业务系统日志采集的范围、内容、频度、方 法以及有关规定的合理性及完备性，对日志内容设臵的完整性、科学性作出评估、分析与实 际系统运行和操作过程的匹配程度。

(2)检查日志保存情况。重点检查：有关日志归档、保存的有关规定以及纸质、电子日 志资料的保管情况，考察日志保存、管理的规范性和安全性等。

(3)检查日志调阅制度。重点检查：日志的调阅、查询是否有严格的制度，调阅日志是 否经过必要的授权并进行如实的登记等。

(4)检查日志管理岗位和人员设臵。重点检查：检查有关日志采集、保存、管理工作的 人员配臵等情况。

（五）业务持续性规划

1.董事会和高管层在业务持续性规划中的职责和工作机制情况

（1)检查业务持续性规划的政策、流程和职责制定情况。重点检查：高级管理层建立业 务连续性规划的相关政策、标准和流程的机制；高级管理层对业务持续性规划的重视程度，及其在业务持续性规划中的职责和作用。

（2）检查业务持续性规划的组织机构及职责制定情况。重点检查：是否已建立业务持 续性规划的各个组织机构，并明确其职责。业务持续性规划的组织机构由管理、业务、技术 和行政后勤等人员组成，应分为灾难恢复规划领导小组,灾难恢复规划实施组和灾难恢复规 划日常运行组。

（3)检查业务持续性规划的报告机制。重点检查：是否建立业务持续性管理相关事项的 报告制度，并及时向董事会和高级管理层报告实施状况、事件、测试结果和相关行动计划等 事项；是否出现过重大营运停止的事件并及时向银监会上报。

（4)检查业务持续性规划的评估机制。重点检查：业务持续性管理是否经过独立机构的 审查和评估，例如内部或外部审计，对业务连续性规划的有效性进行定期评估；针对发现的 问题作出何种整改措施。

2.业务持续性规划的制定和实施情况

（1)检查业务持续性规划的需求分析情况。重点检查：是否进行充分的潜在风险分析； 对风险的可能性和危害性有否做全面的分析，并针对风险提出合理的防范措施。

（2）检查业务持续性规划策略的制定情况。重点检查：是否进行充分的业务影响分析。业务影响分析是否包括了客户、银行人员、声誉、内部运行以及财务和法律等方面的影响，应采用定量和／或定性的方法，对各种业务功能的中断造成的影响进行评估；是否已确定 在灾害发生时必须保证持续有效运行的重要业务部门和后台部门，是否确定灾害过程中 银行对外提供重要服务的最低要求。

（3)检查灾难恢复应急预案的恢复策略和目标的建立情况。重点检查：

1)关键业务功能及恢复的优先顺序、恢复计划的时间进度表；

2)灾难恢复时间范围，即RTO（业务恢复时间目标）和RPO（业务恢复点目标）的范围。确定每项关键业务功能的灾难恢复目标和策略，不同的业务功能可采用不同的 灾难恢复策略，也可采用同一套灾难恢复策略。

（4)检查灾难恢复等级的划分制定清况。重点检查：是否已把灾难恢复涉及资源分为7 个要素：数据备份系统、备用数据处理系统、备用网络系统、备用基础设施、技术支持能力、运行维护管理能力、灾难恢复应急预案，并详细说明各要素的具体要求。

（5)检查灾难恢复应急预案的执行情况。重点检查：是否已进行测试和演练，评估效果 如何。

3.备份中心的管理和操作情况

（1)检查备份中心的建设情况。重点检查：灾备中心的能力否满足其业务持续性规划的

要求，着重从以下几个方面进行了解：数据备份系统、备用数据处理系统、备用网络系统、备用基础设施、技术支持能力、运行维护管理能力。

（2）检查备份中心能力。重点检查：应确保省域以下数据中心至少实现数据备份异地 保存，省域数据中心至少实现异地数据实时备份，全国性数据中心实现异地灾备。

（3)检查外包备份中心的管理。重点检查：对外包灾备的管理是否到位。是否有充分的 资质证书和能力证明，金融机构如何考虑到对外包服务过分依赖导致的风险。

4．业务持续性规划的测试和维护情况

（1）检查业务持续性规划培训计划的实施情况。重点检查：是否已组织业务持续性规 划的教育培训工作。

（2）检查业务持续性规划测试的情况。重点检查：测试方案和计划、测试结果情况及 整改情况

（3）检查变更维护情况。重点检查：是否有良好的业务持续性规划变更维护。业务流 程变化、信息系统的变更、人员的变更是否在业务持续性规划中及时反映；预案在测试、演 练和灾难发生后实际执行时，其过程是否有详细的记录；是否对业务持续性规划定期评审和 修订。

（4）检查业务持续性规划文档的存取管理制度制定情况。重点检查： ①是否由专人负责保存与分发；

②是否具有多份拷贝在不同的地点保存；

③是否已分发给参与业务持续性规划工作的所有人员；

④在每次修订后是否将所有拷贝统一更新，并保留一套，以备查阅，原分发的旧版本应 予销毁。

四．检查依据

（一）资料调阅清单

1.信息科技公司治理和组织结构（1）信息系统风险自查报告

（2）金融机构信息系统管理建设情况问卷调查表（3）金融机构有关科技规划、项目建设类制度；（4）有关岗位责任制；

（5）贯彻落实国家和银监会有关信息系统管理制度的实施细则；（6）行长会议研究科技工作会议记录；（7）全行性科技工作会议记录；（8）科技培训记录；（9）公司章程；

（10）董事会及各科技信息相关专业委员会职责和工作制度（11）董事会有关科技信息工作和系统建设的会议记录 2.信息安全管理

（1）有关信息安全的组织及工作制度；

（2）审计部门或发现控制部门对信息资产风险评估报告；（3）对外承包或服务提供商的有关合约；（4）访问风险控制策略和规则的业务说明；（5）访问用户的安全策略及管理；

（6）重要操作系统的访问、漏洞扫描和日志时间记录及评审；（7）应用系统用户访问、数据存储和文件存放的安全设计文档；（8）控制环境风险的规章制度和具体措施；

3.信息科技项目开发和变更管理（1）检查行内不科技信息管理制度（2）项目验收报告

（3）产品测试记录及有关报告材料（4）项目需求说明书（5）项目验收报告

（6）系统修改或升级或变更记录

（7）系统外包风险评估报告或有关材料（8）业务外包协议、合同（9）外包风险的应急计划 4.信息系统运行和操作管理

（1）运行管理组织成立和有关人员任命的文件集相关会议记录等材料；（2）重要信息系统运行规划书；

（3）有关信息系统运行管理的各项规章制度、实施细则及上级机构的规范性文件等；（4）信息资产台帐（包括：软件、硬件配臵资料、系统拓扑图等）；（5）重要信息系统的应急方案；

（6）系统运行日志、机房出入激励、运行管理部门值班记录等； 5.业务持续性规划

（1）管理章程（包括负责部门、策略及流程等）（2）各组织和小组人员名单（3）外部评估报告（4）报告

（5）风险和业务影响分析报告（6）灾难恢复策略和等级（7）灾难恢复应急预案（8）备份中心管理制度（9）备份中心建设目标（10）培训方案

（11）测试方案及测试报告（12）变更文档（13）外包情况说明

（二）检查应用规章制度

（1）《银行业金融机构信息系统风险管理指引》（2）《金融机构计算机信息系统安全保护条例》（3）《国家计算机信息安全保护条例》（4）《电子银行业务管理办法》（5）《电子银行安全评估指引》

（6）《电子银行业务的风险管理原则》（7）《网上银行银行业务管理办法》（8）《重要信息系统灾难恢复指南》（9）《保证业务持续性的高标准原则》（10）《国家突发公共事件总体应急预案》

（11）金融机构自行制定的科技管理、开发、运行、安全、保密、外包等规章制度__ 10

第五篇：商业银行的非现场检查浅谈

第八讲：对商业银行的非现场检查

郭雳

【学科分类】经济法 【出处】金融法苑 【写作年份】2002年

【正文】

非现场检查是指金融监管机关通过对金融机构定期提供的各种财务报表、统计报表等有关资料，依法进行全面的整理分析，以了解金融机构的业务经营，掌握金融政策的贯彻落实情况和金融市场的变化状况，及时有效地把握反馈信息，进一步调整、改进政策方针，使金融机构的运作符合宏观经济发展的要求。

本世纪70年代以来，对金融机构，特别是商业银行的非现场检查受到各国重视并被广泛采用，有着其必要性和可能性。首先，规模庞大、体系复杂的金融机构大量涌现，令监管当局原有的现场检查应接不暇，然而要增加雇员、添置设备必然引起监管成本的上升；况且“蜻蜓点水”式的现场检查往往流于形式，无法真正发现问题，更不要说加以解决了。其次，数据通讯、处理技术的革新，显著地降低了信息传递、处理的成本，为非现场检查的实施提供了技术支持。这样一来，监管人员就无需再事倍功半地在金融机构间疲于奔命，而可以气定神闲地按动鼠标，在自己的办公室里进行监控，有的放矢地开展工作了。

一、非现场检查的法律依据和内容

先来看看发达国家的情况：日本银行规定，在其开户的金融机构必须定期提供有关财务报表，以反映其经营、财务、损益、资产负债比例等情况。根据提交的报表资料，日本银行按安全性、盈利性、流动性原则，重点分析银行资产的流动性及银行的整体经营活动，如银行经营策略、适应金融自由化的措施、新业务的开辟及资产负债表外交易、为达到资本充足性标准所采取的措施等。此外，日本央行还要监控被检查银行是否能够实施有效的风险管理，借此准确判断银行整体经营状况，及时发出预警信号，采取必要的纠正措施。

我国引入非现场检查的时间不长，这其中既有客观原因，如商业银行的数量较少，对非现场检查的需求不足；金融电子化的水平较低，无法充分满足技术上的要求等等。同时也有主观原因，如监管风格趋向保守，对新生事物不够敏感。不过，进入90年代，非现场检查在我国仍有长足的发展。《商业银行法》第61条规定：“商业银行应当定期向中国人民银行报送资产负债表、损益表以及其他财务会计报表和资料。”以此为依据，中国人民银行在1995年4月5日发布的《非现场稽核监督暂行规定》（银发 [1995]]95号，以下简称为《暂行规定》）中对非现场检查进行了比较具体的规范。

《暂行规定》强调，商业银行应按照中国人民银行的要求，定期报送有关业务经营情况的资料，中国人民银行按规定程序对金融机构报送的资料进行审核、整理、分析，写出稽核报告，对于发现的违规现象或经营不善问题，经质询、核实后作出稽核结论和处理决定。由此可见，我国非现场检查的执行机关是中国人民银行及其分支机构，而作为监管对象的商业银行包括依法设立的中资、外资和合资银行。此外，《暂行规定》还指明了非现场检查应适用的原则，即全国统一组织领导、统一管理、统一监督内容、统一监测指标以及分级监控。

有关非现场检查的内容，各国大都将其分为合规性检查和风险性检查两部分。前者主要是检查商业银行业务经营是否符合法律法规和金融政策的要求，强调更多的是“合规性”，所以商业银行经营中的潜在风险及是否稳健安全不是其考虑的重点。风险性检查则旨在通过检查，观察商业银行的经营管理及其业务活动是否在合理的风险范围之内，在此基础上确认经营风险所在，并督促商业银行制定出控制风险的措施和办法，从而避免商业银行承担过大的风险而导致经营失败，确保金融业的谨慎稳健经营。

我国的非现场检查也遵循了以上的分类原则，其中对合规性的检查包括：

（一）信贷规模、限额及资产负债比例的执行情况；

（二）同业拆借情况；

（三）向人民银行缴存存款准备金和财政性存款的情况；

（四）其它合规性内容。风险性检查的要素则是：

（一）资本充足性；

（二）资产质量；

（三）资产流动性；

（四）盈利状况；

（五）经营管理水平。

二、非现场检查的资料报送和程序规定

非现场检查能否成功实现，关键是看有无广泛、真实的资料来源，因此严格遵守检查制度，及时、准确地填制、报送有关报表材料成为各国对非现场检查的共同要求。我国商业银行应按规定的时间、内容和方式向央行报送下列材料：会计月计表或业务状况表、资产负债表、损益表、非现场稽核监督补充报表以及其它有关资料和文字情况说明。

通过审核会计月计表或业务状况表，央行可以掌握商业银行内资金来源和运用情况以及各项流动资金的增减变动情况。资产负债表则反映商业银行各项资产、负债和所有者权益的增减变动以及各项目之间的相互关系，可据此检查资产负债结构是否合理，考核各项资金计划的执行情况，为分析各项银行业务，预测发展前景提供数据和信息。记录会计期间内收入、支出、净收益（或亏损）的损益表，是总结和反映全年营业收入、管理费用，营业外收支及利润等情况的重要资料，央行可以通过对它的审查，比较收支、考核财务计划的执行情况，分析出盈亏变化的原因。

一些国家的法律对商业银行资料报送提出了更高的要求。如美国联储规定须提交的报表还包括：反映资产负债表特别项目的有关附表，如存贷款明细表、逾期贷款明细表等；资产负债表上未能反映的报表，如表外项目明细表；有关特别经营的报告，如各项存贷款统计报告、内部借贷统计报告、信托业务统计报告、消费信用统计报告、现金交易统计报告等。

在我国，根据《暂行规定》，报表资料可以采取直接报送报表、报送计算机存储介质或进行数据通讯等方式传递。为确保有关材料真实、充分，除商业银行应对其报送资料的完整性、真实性和准确性负责外，央行有权要求受检银行提供由外部审计机构出具的审计证明，也有权直接对这些材料的真实性进行核查。

非现场检查的程序可分为以下五个阶段：

（一）资料收集审查阶段。人民银行总行及其分行收到被检查单位报来的资料后，对其完整性、真实性、准确性进行审查，必要时还可到现场予以核实。

（二）计算整理阶段。对被检查单位报送的资料进行计算、整理，制成非现场稽核监督表。

（三）分析质询阶段。对计算处理得出的结果进行分析，对被检查单位经营管理上存在和可能发生的问题，提出质询，被检查单位应按规定时间和方式对质询事项作出说明，并提供有关资料。通常所采用的分析方法主要有趋势分析法和对比分析法，前者是对同一银行不同时期的比率分析比较，以观察一定时期该项比率的变化趋势；后者则是利用不同银行间的资本充足程度、资产质量、收益及流动资金等方面的对比，衡量经营水平，判断风险状况。

（四）报告处理阶段。即根据非现场检查的结果，按有关规定写出非现场稽核监督报告，并按规定对被检查单位做出稽核结论，必要时可作出处理决定，监督被检查单位执行。

（五）信息反馈阶段。中国人民银行各级稽核监督部门应及时将稽核结论、处理决定和其它有关分析报告向本行行长和上级行稽核监督部门报告，对非现场检查中发现的重大问题，要写出专题报告，提出采取的措施、意见和建议，必要时，中国人民银行可向社会公布非现场检查的结果。

三、与现场检查的比较及我国在非现场检查中存在的问题

通过以上的介绍，我们不难看出：与现场检查相比，非现场检查具有这样一些优点。首先，低成本、高效率。尽管非现场检查系统建构之初可能需要较大的投入，以更新设备、培训人员，但一旦进入正常运作阶段，其在人力、物力上的耗费要比现场检查小得多。因此从整体而言，非现场检查显得更为经济，也更符合未来社会以电脑代替人脑处理数据，以信息流代替实物流实现沟通的发展趋势，同时有助于推动监管技术的进步和监管思维的更新。其次，非现场检查有着很强的及时性、准确性、连续性和全面性的特点，金融监管机关可以籍此对商业银行实施有效的经常性监管，特别是对于风险性的监管。此外，非现场检查数字传递、微机处理的工作模式在一定程度上保证了检查结论的客观性，更好地体现了金融监管公正独立的原则，有利于遏制监管者与被监管者之间腐败现象的产生。

当然，任何人、任何事物、任何制度，都无法做到十全十美，非现场检查再一次证明了这个颠扑不破的真理。在实践的过程中，人们逐渐认识到这种监管方式的两大缺点。第一，单纯依靠静态数据资料，只能分析问题的表面，很难揭示问题深层次的内容。毕竟，纷繁复杂的现实不能为简单的“1、2、3、4、„„”或者“Yes or No”所全部涵盖，再出色的计算机语言也无法精确地描绘我们身处的多彩世界，更何况这里所谈的又是其中最为摄人心魄的部分——金融。要想全面地把握商业银行的运营情况，仅仅依靠其自己报送的若干数据资料是远远不够的。第二，在非现场检查中，如果不能辅之以一些直接的查、访、问，对有些问题就难于取证、定性，从而影响到检查的效果。尽管金融监管当局对不按规定报送资料及报送材料虚假不实规定了严厉的罚则，但仍无法从根本上杜绝那些因胆大妄为或是心存侥幸而企图瞒天过海的行为，况且商业银行面临的形形色色的风险也并非全都能反映在央行所规定的那几个报表中。

不难看出，非现场检查与现场检查的关系绝不是非此即彼、相互排斥，而应是你中有我、彼此配合。非现场检查可以用来弥补因现场检查不易频繁进行而造成的监管真空；而现场检查又能对在非现场检查中暴露出的问题展开深入的调查。作为金融监管者的“双手”，两者缺一不可，取长补短方能相得益彰。

联系我国金融监管的实际，首要的问题是对非现场检查的重视程度不够。长期以来，央行在监管中更多地是强调合规性，在监管方式的选择上也倾向于现场检查（现场检查作为传统方式也是形成央行偏好的原因之一）。应当说，这种状况在一定程度上是国情使然，我国商业银行在经营中大量存在着帐外经营、变相拆借资金等违规活动，决定了规范银行行为的必要性；合规性检查作为监管重点本无可厚非，但如果因此而放松乃至放弃风险性监管，就实在是顾此失彼，大错特错了。风险性监管所具有的及早发现风险、及时预防控制风险的功能在金融业务日趋复杂、竞争日趋激烈、风险日趋多变的情况下，已为许多国家所认识，亚洲金融风暴中东南亚各国在这方面的教训更令人触目惊心。因此，为保证商业银行稳健、安全、高效运营，保障金融业的稳定，我国必须高度重视风险性监管，同时也应高度重视作为其重要监管手段的非现场检查。

其次，我国立法就非现场检查的规定仍不够严密，如对于境外中资金融机构，非现场检查如何操作等问题，就有必要针对各自特点，结合实际情况给予较为详尽的指示。另外，可否参照适用巴塞尔银行监督委员会公布的《对国际银行及其跨国机构监管的最低标准》、《关于银行海外机构的监管原则》，也应加以明确。

此外，实践中大量存在的商业银行报送不及时、报表不规范的情况也阻碍着非现场检查作用的发挥，需要我们引起注意并加以改正。

现场检查也好，非现场检查也好，都只是金融监管的手段，而金融监管本身说到底也不过是一种手段，其所要达到的目的是使金融机构将外界压力转化为内在动力，由被动到主动地遵守“游戏”规则，防范金融风险。如果商业银行不具备这样的素质，缺乏这种意识，则无论现场检查多么频繁，非现场检查多么严格，也只能是事与愿违。反过来说，好制度所产生的正效应同样难以估量，这两种检查方式如果运用得当，则无疑将会对金融乃至整个经济的稳定和发展产生极大的促进作用。从自发到自觉，从他律到自律，永远追求更高的境界，人如此，社会亦应如此。