金融業(yè)信息科技風險的管理

信息科技風險管理方法

第一章總那么

第一條為有效防范運用信息系統(tǒng)進展業(yè)務處理、經營管理

和內部控制過程中產生的風險，促進我行各項業(yè)務平安、持續(xù)、

穩(wěn)健運行，根據？中華人民共和國銀行業(yè)監(jiān)視管理法?、？中華人民

共和國商業(yè)銀行法？、？商業(yè)銀行信息科技風險管理指引？、？營口

沿海銀操作風險管理指引？，以及國家信息平安相關要求和有關法

律法規(guī)，制定本管理方法。

第二條本管理方法所稱信息科技是指計算機、通信、微電

子和軟件工程等現代信息技術，在我行業(yè)務交易處理、經營管理

和內部控制等方面的應用，并包括進展信息科技治理，建立完整

的管理組織架構，制訂完善的管理制度和流程。

第三條本管理方法所稱信息科技風險，是指信息科技在我

行運用過程中，由于自然因素、人為因素、技術漏洞和管理缺陷

產生的操作、法律和聲譽等風險。

第四條信息科技風險管理的目標是通過建立有效的機制，

實現對我行信息科技風險的識別、計量、監(jiān)測和控制，促進我行

平安、持續(xù)、穩(wěn)健運行，推動業(yè)務創(chuàng)新，提高信息技術使用水平,

增強核心競爭力和可持續(xù)開展能力。

第二章機構職責

第五條根據我行信息科技治理的要求，法定代表人是本機

構信息科技風險管理的第一責任人，負責組織本管理方法的貫徹

落實，董事會應履行以下信息科技管理職責：

（一）遵守并貫徹執(zhí)行國家有關信息科技管理的法律、法規(guī)和

技術標準，落實中國銀行業(yè)監(jiān)視管理委員會（以下簡稱銀監(jiān)會）相

關監(jiān)管要求。

（二）審查批準信息科技戰(zhàn)略，確保其與銀行的總體業(yè)務戰(zhàn)略

和重大策略相一致。評估信息科技及其風險管理工作的總體效果和

效率。

（三）掌握主要的信息科技風險，確定可承受的風險級別，確

保相關風險能夠被識別、計量、監(jiān)測和控制。

（四）標準職業(yè)道德行為和廉潔標準，增強內部文化建立，提

高全體人員對信息科技風險管理重要性的認識。

（五）設立一個由來自高級管理層、信息科技部門和主要業(yè)務

部門的代表組成的專門信息科技管理委員會，負責監(jiān)視各項職責的

落實，定期向董事會和高級管理層匯報信息科技戰(zhàn)略規(guī)劃的執(zhí)行、

信息科技預算和實際支出、信息科技的整體狀況。

（六）在建立良好的公司治理的根底上進展信息科技治理，形

成分工合理、職責明確、相互制衡、報告關系清晰的信息科技治理

組織構造。加強信息科技專業(yè)隊伍的建立，建立人才鼓勵機制。

（七）確保內部審計部門進展獨立有效的信息科技風險管理

審計，對審計報告進展確認并落實整改。

（八）每年審閱并向銀監(jiān)會及其派出機構報送信息科技風險

管理的年度報告。

（九）確保信息科技風險管理工作所需資金。

（十）確保銀行所有員工充分理解和遵守經其批準的信息科

技風險管理制度和流程，并安排相關培訓。

（十一）確保本法人機構涉及客戶信息、賬務信息以及產品

信息等的核心系統(tǒng)在中國境內獨立運行，并保持最高的管理權限，

符合銀監(jiān)會監(jiān)管和實施現場檢查的要求，防范跨境風險。

（十二）及時向銀監(jiān)會及其派出機構報告本機構發(fā)生的重大

信息科技事故或突發(fā)事件，按相關預案快速響應。

（十三）配合銀監(jiān)會及其派出機構做好信息科技風險監(jiān)視檢

查工作，并按照監(jiān)管意見進展整改。

（十四）履行信息科技風險管理其他相關工作。

第六條我行應設立分管信息科技的副行級領導，直接向行

長匯報，并參與決策。副行級領導的職責包括：

（-）直接參與本銀行與信息科技運用有關的業(yè)務開展決策。

（三）確保員工了解、遵守信息科技策略、指導原那么、信息

保密、授權使用信息系統(tǒng)、信息科技管理制度和流程等要求，并同

員工簽訂相關協(xié)議。

（四）評估關鍵崗位信息科技員工流失帶來的風險，做好安排

候補員工和崗位接替方案等防范措施；在員工崗位發(fā)生變化后及時

變更相關信息。

第八條運營管理部職能穿插，要部門協(xié)調是信息系統(tǒng)中涉

及賬務交易的操作、系統(tǒng)參數變更、事件管理的主要部門。運營

管理部的職責包括：

（-）運行與維護應實行職責別離，運行人員應實行專職，不

得由其他人員兼任。運行人員應按操作規(guī)程巡檢和操作。維護人員

應按授權和維護規(guī)程要求對生產狀態(tài)的軟硬件、數據進展維護，除

應急外，其他維護應在非工作時間進展。

（二）制定詳細的運行值班操作表，包括規(guī)定巡檢時間，操作

范圍、內容、方法、命令以及負責人員等信息。

（三）提供機房環(huán)境、設備使用、網絡運行、系統(tǒng)運行職能穿

插，要部門協(xié)調等監(jiān)控信息。

（四）記錄運行值班過程中所有現象、操作過程等信息日志。

（五）對軟件或數據的維護必須通過特定的應用程序進展，添

加、刪除和修改數據應通過柜員終端，不得對數據庫進展直接操作;

（六）具備各種詳細的日志信息，包括交易日志和審計日志

等，以便維護和審計。

（七）提供維護的統(tǒng)計和報表打印功能。

（八）對系統(tǒng)參數等設置變更、維護的要求：

1、應對信息系統(tǒng)配置參數實施嚴格的平安與保密管理，防止

非法生成、變更、泄漏、喪失與破壞。根據敏感程度和用途，確定

存取權限、方式和授權使用范圍，嚴格審批和登記手續(xù)。

2、制訂嚴密的變更處理流程，明確變更控制中各崗位的職責,

并遵循流程實施控制和管理；變更前應明確應急和回退方案，無授

權不得進展變更操作；

3、根據變更需求、變更方案、變更內容核實清單等相關文檔

審核變更的正確性、平安性和合法性。職能穿插，要部門協(xié)調

（九）應對機房環(huán)境設施實行日常巡檢，明確信息系統(tǒng)及機房

環(huán)境設施出現故障時的應急處理流程和預案，有實時交易效勞的數

據中心應實行24小時值班。

（十）實行事件報告制度，發(fā)生信息系統(tǒng)造成重大經濟、聲譽

損失和重大影響事件，應即時上報并處理，必要時啟動應急處理預

案。

第九條風險管理部負責信息科技風險管理工作，并直接向

分管行領導（風險管理委員會）報告工作。該部門應為信息科技

突發(fā)事件應急響應小組的成員之一，負責協(xié)調制定有關信息科技

風險管理策略，尤其是在涉及信息平安、業(yè)務連續(xù)性方案和合規(guī)

性風險等方面，為業(yè)務部門和信息科技部門提供建議及相關合規(guī)

性信息，實施持續(xù)信息科技風險評估，跟蹤整改意見的落實，監(jiān)

控信息平安威脅和不合規(guī)事件的發(fā)生。風險管理部的職責包括：

（一）擬定信息系統(tǒng)風險管理總體政策，并提交高級管理層審

查、審批。

（二）會同相關業(yè)務部門對信息系統(tǒng)風險進展識別、監(jiān)測；

（三）審核信息系統(tǒng)風險狀況。對總行相關業(yè)務部門和分支機

構信息系統(tǒng)風險狀況及維護、運行情況進展監(jiān)測，并進展實時報告。

（四）組織新投產后信息系統(tǒng)的后評價，并識別、評估新信息

系統(tǒng)中所包含的風險，審核相應的操作和風險管理程序。

第十條稽核審計部應在部門設立專門的信息科技風險審計

崗位，負責信息科技審計制度和流程的實施，制訂和執(zhí)行信息科

技審計方案，對信息科技整個生命周期和重大事件等進展審計。

稽核審計部負責我行信息系統(tǒng)審計任務，也可聘請經國家相應監(jiān)

管部門認定資質的中介機構進展信息系統(tǒng)外部審計。

第三章信息科技風險管理

第十一條我行應制定全面的信息科技風險管理策略，包括但

不限于下述領域：

（一）信息分級與保護。

（-）信息系統(tǒng)開發(fā)、測試和維護。

（三）信息科技運行和維護。

（四）訪問控制。

（五）物理平安。

（六）人員平安。

（七）業(yè)務連續(xù)性方案與應急處置。

第十二條我行應制定持續(xù)的風險識別和評估流程，確定信息

科技中存在隱患的區(qū)域，評價風險對其業(yè)務的潛在影響，對風險

進展排序，并確定風險防范措施及所需資源的優(yōu)先級別（包括外

包供給商、產品供給商和效勞商）。

第十三條我行應依據信息科技風險管理策略和風險評估結

果，實施全面的風險防范措施。防范措施應包括：

（一）制定明確的信息科技風險管理制度、技術標準和操作規(guī)

程等,定期進展更新和公示。

（-）確定潛在風險區(qū)域，并對這些區(qū)域進展詳細和獨立的監(jiān)

控，實現風險最小化。建立適當的控制框架，以便于檢查和平衡風

險；定義每個業(yè)務級別的控制內容，包括：

1、最高權限用戶的審查。

2、控制對數據和系統(tǒng)的物理和邏輯訪問。

3、訪問授權以“必需知道〃和“最小授權〃為原那么。

4、審批和授權。

5、驗證和調節(jié)。

第十四條我行應建立持續(xù)的信息科技風險計量和監(jiān)測機制，

其中應包括：

（一）建立信息科技工程實施前及實施后的評價機制。

（二）建立定期檢查系統(tǒng)性能的程序和標準。

（三）建立信息科技效勞投訴和事故處理的報告機制。

（四）建立內部審計、外部審計和監(jiān)管發(fā)現問題的整改處理機

制。

（五）安排供給商和業(yè)務部門對效勞水平協(xié)議的完成情況進

展定期審查。

（六）定期評估新技術開展可能造成的影響和已使用軟件面

臨的新威脅

（七）定期進展運行環(huán)境下操作風險和管理控制的檢查。

（A）定期進展信息科技外包工程的風險狀況評價。

第四章信息平安

第十五條科技部負責建立和實施信息分類和保護體系，應使

所有員工都了解信息平安的重要性，并組織提供必要的培訓，讓

員工充分了解其職責范圍內的信息保護流程。

第十六條科技部應落實信息平安管理職能。該職能應包括建

立信息平安方案和保持長效的管理機制，提高全體員工信息平安

意識，就平安問題向其他部門提供建議，并定期向信息科技管理

委員會提交本銀行信息平安評估報告。信息平安管理機制應包括

信息平安標準、策略、實施方案和持續(xù)維護方案。信息平安策略

應涉及以下領域：

（-）平安制度管理。

（二）信息平安組織管理。

（三）資產管理。

（四）人員平安管理。

（五）物理與環(huán)境平安管理。

（六）通信與運營管理。

（七）訪問控制管理。

（八）系統(tǒng)開發(fā)與維護管理。

（九）信息平安事故管理。

（十）業(yè)務連續(xù)性管理。

（十一）合規(guī)性管理。

第十七條應建立有效管理用戶認證和訪問控制的流程。用戶

對數據和系統(tǒng)的訪問必須選擇與信息訪問級別相匹配的認證機

制，并且確保其在信息系統(tǒng)內的活動只限于相關業(yè)務能合法開展

所要求的最低限度。用戶調動到新的工作崗位或離開我行時，應

在系統(tǒng)中及時檢查、更新或注銷用戶身份。

第十八條應確保設立物理平安保護區(qū)域，包括計算機中心或

數據中心、存儲機密信息或放置網絡設備等重要信息科技設備的

區(qū)域，明確相應的職責，采取必要的預防、檢測和恢復控制措施。

第十九條應根據信息平安級別，將網絡劃分為不同的邏輯平

安域（以下簡稱為域）。應該對以下平安因素進展評估，并根據

平安級別定義和評估結果實施有效的平安控制，如對每個域和整

個網絡進展物理或邏輯分區(qū)、實現網絡內容過濾、邏輯訪問控制、

傳輸加密、網絡監(jiān)控、記錄活動日志等。

（-）域內應用程序和用戶組的重要程度。

（-）各種通訊渠道進入域的訪問點。

（三）域內配置的網絡設備和應用程序使用的網絡協(xié)議和端

口。

（四）性能要求或標準。

（五）域的性質，如生產域或測試域、內部域或外部域。

（六）不同域之間的連通性。

（七）域的可信程度。

第二十條應通過以下措施，確保所有計算機操作系統(tǒng)和系統(tǒng)

軟件的平安：

（-）制定每種類型操作系統(tǒng)的根本平安要求，確保所有系統(tǒng)

滿足根本平安要求。

（二）明確定義包括終端用戶、系統(tǒng)開發(fā)人員、系統(tǒng)測試人員、

計算機操作人員、系統(tǒng)管理員和用戶管理員等不同用戶組的訪問權

限。

（三）制定最高權限系統(tǒng)賬戶的審批、驗證和監(jiān)控流程，并確

保最高權限用戶的操作日志被記錄和監(jiān)察。

（四）要求技術人員定期檢查可用的平安補丁，并報告補丁管

理狀態(tài)。

（五）在系統(tǒng)日志中記錄不成功的登錄、重要系統(tǒng)文件的訪

問、對用戶賬戶的修改等有關重要事項，手動或自動監(jiān)控系統(tǒng)出現

的任何異常事件，定期匯報監(jiān)控情況。

第二十一條應通過以下措施，確保所有信息系統(tǒng)平安：

（-）明確定義終端用戶和信息科技技術人員在信息系統(tǒng)平

安中的角色和職責。

（二）針對信息系統(tǒng)的重要性和敏感程度，采取有效的身份驗

證方法。

（三）加強職責劃分，對關鍵或敏感崗位進展雙重控制。

（四）在關鍵的接合點進展輸入驗證或輸出核對。

（五）采取平安的方式處理保密信息的輸入和輸出，防止信息

泄露或被盜取、篡改。

（六）確保系統(tǒng)按預先定義的方式處理例外情況，當系統(tǒng)被迫

終止時向用戶提供必要信息。

（七）以書面或電子格式保存審計痕跡。

（八）要求用戶管理員監(jiān)控和審查未成功的登錄和用戶賬戶

的修改。

第二十二條應制定相關策略和流程，管理所有生產系統(tǒng)的

活動日志，以支持有效的審核、平安取證分析和預防欺詐。日志

可以在軟件的不同層次、不同的計算機和網絡設備上完成，日志

劃分為兩大類：

（-）交易日志。交易日志由應用軟件和數據庫管理系統(tǒng)產

生，內容包括用戶登錄嘗試、數據修改、錯誤信息等。交易日志應

按照國家會計準那么要求予以保存。

（二）系統(tǒng)日志。系統(tǒng)口志由操作系統(tǒng)、數據庫管理系統(tǒng)、防

火墻、入侵檢測系統(tǒng)和路由器等生成，內容包括管理登錄嘗試、系

統(tǒng)事件、網絡事件、錯誤信息等。系統(tǒng)日志保存期限按系統(tǒng)的風險

等級確定，但不能少于一年。

第二十三條應保證交易日志和系統(tǒng)日志中包含足夠的內

容，以便完成有效的內部控制、解決系統(tǒng)故障和滿足審計需要；

應采取適當措施保證所有日志同步計時，并確保其完整性。在例

外情況發(fā)生后應及時復查系統(tǒng)日志。交易日志或系統(tǒng)日志的復查

頻率和保存周期應由信息科技部門和有關業(yè)務部門共同決定，并

報信息科技管理委員會批準。

第二十四條應采取加密技術，防范涉密信息在傳輸、處理、

存儲過程中出現泄露或被篡改的風險，并建立密碼設備管理制度,

以確保：

（一）使用符合國家要求的加密技術和加密設備。

（-）管理、使用密碼設備的員工經過專業(yè)培訓和嚴格審查。

（三）加密強度滿足信息機密性的要求。

（四）制定并落實有效的管理流程，尤其是密鑰和證書生命周

期管理。

第二十五條配備切實有效的系統(tǒng)，確保所有終端用戶設備

的平安，并定期對所有設備進展平安檢查，包括臺式個人計算機

（PC）、便攜式計算機、柜員終端、自動柜員機（ATM）、存折打

印機、讀卡器、銷售終端（POS）和個人數字助理（PDA）等。

第二十六條制定相關制度和流程，嚴格管理客戶信息的采

集、處理、存貯、傳輸、分發(fā)、備份、恢復、清理和銷毀。

第二十七條對所有員工進展必要的培訓，使其充分掌握信

息科技風險管理制度和流程，了解違反規(guī)定的后果，并對違反平

安規(guī)定的行為采取零容忍政策。

第五章信息系統(tǒng)開發(fā)、測試和維護

第二十八條應有能力對信息系統(tǒng)進展需求分析、規(guī)劃、采

購、開發(fā)、測試、部署、維護、升級和報廢，制定制度和流程，

管理信息科技工程的優(yōu)先排序、立項、審批和控制。工程實施部

門應定期向信息科技管理委員會提交重大信息科技工程的進度報

告，由其進展審核，進度報告應當包括方案的重大變更、關鍵人

員或供給商的變更以及主要費用支出情況。應在信息系統(tǒng)投產后

一定時期內，組織對系統(tǒng)的后評價，并根據評價結果及時對系統(tǒng)

功能進展調整和優(yōu)化。

第二十九條應認識到信息科技工程相關的風險，包括潛在

的各種操作風險、財務損失風險和因無效工程規(guī)劃或不適當的工

程管理控制產生的時機本錢，并采取適當的工程管理方法，控制

信息科技工程相關的風險。

第三十條采取適當的系統(tǒng)開發(fā)方法，控制信息系統(tǒng)的生命周

期。典型的系統(tǒng)生命周期包括系統(tǒng)分析、設計、開發(fā)或外購、測

試、試運行、部署、維護和退出。所采用的系統(tǒng)開發(fā)方法應符合

信息科技工程的規(guī)模、性質和復雜度。

第三十一條制定相關控制信息系統(tǒng)變更的制度和流程，確

保系統(tǒng)的可靠性、完整性和可維護性，其中應包括以下要求：

（一）生產系統(tǒng)與開發(fā)系統(tǒng)、測試系統(tǒng)有效隔離。

（-）生產系統(tǒng)與開發(fā)系統(tǒng)、測試系統(tǒng)的管理職能相別離。

（三）除得到管理層批準執(zhí)行緊急修復任務外，制止應用程序

開發(fā)和維護人員進入生產系統(tǒng)，且所有的緊急修復活動都應立即進

展記錄和審核。

（四）將完成開發(fā)和測試環(huán)境的程序或系統(tǒng)配置變更應用到

生產系統(tǒng)時，應得到信息科技部門和業(yè)務部門的聯合批準，并對變

更進展及時記錄和定期復查。

（五）制定并落實相關制度、標準和流程,確保信息系統(tǒng)開發(fā)、

測試、維護過程中數據的完整性、保密性和可用性。

第三十二條建立并完善有效的問題管理流程，以確保全面

地追蹤、分析和解決信息系統(tǒng)問題，并對問題進展記錄、分類和

索引；如需供給商提供支持效勞或技術援助，應向相關人員提供

所需的合同和相關信息，并將過程記錄在案；對完成緊急恢復起

至關重要作用的任務和指令集，應有清晰的描述和說明，并通知

相關人員。

第六章信息科技運行

第三十三條在選擇數據中心的地理位置時，應充分考慮環(huán)

境威脅〔如是否接近自然災害多發(fā)區(qū)、危險或有害設施、繁忙或

主要公路），采取物理控制措施，監(jiān)控對信息處理設備運行構成

威脅的環(huán)境狀況，并防止因意外斷電或供電干擾影響數據中心的

正常運行。

第三十四條嚴格控制第三方人員（如效勞供給商）進入平

安區(qū)域，如確需進入應得到適當的批準，其活動也應受到監(jiān)控；

針對長期或臨時聘用的技術人員和承包商，尤其是從事敏感性技

術相關工作的人員，應制定嚴格的審查程序，包括身份驗證和背

景調查。

第三十五條應將信息科技運行與系統(tǒng)開發(fā)和維護別離，確

保信息科技部門內部的崗位制約；對數據中心的崗位和職責做出

明確規(guī)定。

第三十六條按照有關法律法規(guī)要求保存交易記錄，采取必

要的程序和技術，確保存檔數據的完整性，滿足平安保存和可恢

復耍求。

第三十七條制定詳盡的信息科技運行操作說明。如在信息

科技運行手冊中說明計算機操作人員的任務、工作日程、執(zhí)行步

驟，以及生產與開發(fā)環(huán)境中數據、軟件的現場及非現場備份流程

和要求（即備份的頻率、范圍和保存周期）。

第三十八條建立事故管理及處置機制，及時響應信息系統(tǒng)

運行事故，逐級向相關的信息科技管理人員報告事故的發(fā)生，并

進展記錄、分析和跟蹤，直到完成徹底的處置和根本原因分析。

我行應建立效勞臺，為用戶提供相關技術問題的在線支持，并將

問題提交給相關信息科技部門進展調查和解決。

第三十九條建立效勞水平管理相關的制度和流程，對信息

科技運行效勞水平進展考核。

第四十條建立連續(xù)監(jiān)控信息系統(tǒng)性能的相關程序，及時、完

整地報告例外情況；該程序應提供預警功能，在例外情況對系統(tǒng)

性能造成影響前對其進展識別和修正。

第四十一條制定容量規(guī)劃，以適應由于外部環(huán)境變化產生

的業(yè)務開展和交易量增長。容量規(guī)劃應涵蓋生產系統(tǒng)、備份系統(tǒng)

及相關設備。

第四十二條及時進展維護和適當的系統(tǒng)升級，以確保與技

術相關效勞的連續(xù)可用性，并完整保存記錄（包括疑似和實際的

故障、預防性和補救性維護記錄），以確保有效維護設備和設施。

第四十三條制定有效的變更管理流程，以確保生產環(huán)境的

完整性和可靠性。包括緊急變更在內的所有變更都應記入日志，

由信息科技部門和業(yè)務部門共同審核簽字，并事先進展備份，以便

必要時可以恢復原來的系統(tǒng)版本和數據文件。緊急變更成功后,

應通過正常的驗收測試和變更管理流程，采用恰當的修正以取代

緊急變更。

第七章業(yè)務連續(xù)性管理

第四十四條根據自身業(yè)務的性質、規(guī)模和復雜程度制定適

當的業(yè)務連續(xù)性規(guī)劃，以確保在出現無法預見的中斷時，系統(tǒng)仍

能持續(xù)運行并提供效勞；定期對規(guī)劃進展更新和演練，以保證其

有效性。

第四十五條評估因意外事件導致其業(yè)務運行中斷的可能性

及其影響，包括評估可能由下述原因導致的破壞：

（-）內外部資源的故障或缺失（如人員、系統(tǒng)或其他資產）。

（二）信息喪失或受損。

（三）外部事件（如戰(zhàn)爭、地震或臺風等）。

第四十六條應采取系統(tǒng)恢復和雙機熱備處理等措施降低業(yè)

務中斷的可能性，并通過應急安排和保險等方式降低影響。

第四十七條建立維持其運營連續(xù)性策略的文檔，并制定對

策略的充分性和有效性進展檢查和溝通的方案。其中包括：

（-）標準的業(yè)務連續(xù)性方案,明確降低短期、中期和長期中

斷所造成影響的措施，包括但不限于：

1、資源需求（如人員、系統(tǒng)和其他資產）以及獲取資源的方

式。

2、運行恢復的優(yōu)先順序。

3、與內部各部門及外部相關各方（尤其是監(jiān)管機構、客戶和

媒體等）的溝通安排。

（二）更新實施業(yè)務連續(xù)性方案的流程及相關聯系信息。

（三）驗證受中斷影響的信息完整性的步驟。

（四）當我行的業(yè)務或風險狀況發(fā)生變化時，對本條一到三進

展審核并升級。

第四十八條我行的業(yè)務連續(xù)性方案和年度應急演練結果應

由信息科技風險管理部門或信息科技管理委員會確認。

第八章外包與審計

第一節(jié)外包

第四十九條不得將我行信息科技管理責任外包，應合理慎

重監(jiān)視外包職能的履行。

第五十條實施重要外包（如數據中心和信息科技根底設施等）

應格外慎重，在準備實施重要外包時應以書面材料正式報告銀監(jiān)

會或其派出機構。

第五十一條在簽署外包協(xié)議或對外包協(xié)議進展重大變更

前，應做好相關準備，其中包括：

（-）分析外包是否適合我行的組織構造和報告路線、業(yè)務戰(zhàn)

略、總體風險控制，是否滿足我行履行對外包效勞商的監(jiān)視義務。

（二）考慮外包協(xié)議是否允許我行監(jiān)測和控制與外包相關的

操作風險。

（三）充分審查、評估外包效勞商的財務穩(wěn)定性和專業(yè)經歷，

對外包效勞商進展風險評估，考察其設施和能力是否足以承當相應

的責任。

（四）考慮外包協(xié)議變更前后實施的平穩(wěn)過渡（包括終止合同

可能發(fā)生的情況〕。

（五）關注可能存在的集中風險，如多家我行共用同一外包效

勞商帶來的潛在業(yè)務連續(xù)性風險。

第五十二條在與外包效勞商合同談判過程中，應考慮的因

索包括但不限于：

（-）對外包效勞商的報告要求和談判必要條件。

（-）銀行業(yè)監(jiān)管機構和內部審計、外部審計能執(zhí)行足夠的監(jiān)

視。

（三）通過界定信息所有權、簽署保密協(xié)議和采取技術防護措

施保護客戶信息和其他信息。

（四）擔保和損失賠償是否充足。

（五）外包效勞商遵守我行有關信息科技風險制度和流程的

意愿及相關措施。

（六）外包效勞商提供的業(yè)務連續(xù)性保障水平，以及提供相關

專屬資源的承諾。

（七）第三方供給商出現問題時，保證軟件持續(xù)可用的相關措

施。

（A）變更外包協(xié)議的流程，以及我行或外包效勞商選擇變更

或終止外包協(xié)議的條件，例如：

1、我行或外包效勞商的所有權或控制權發(fā)生變化。

2、我行或外包效勞商的業(yè)務經營發(fā)生重大變化。

3、外包效勞商提供的效勞不充分，造成我行不能履行監(jiān)視義

務。

第五十三條在實施雙方關系管理，以及起草效勞水平協(xié)議

時，應考慮的因素包括但不限于：

（-）提出定性和定量的績效指標，評估外包效勞商為我行及

其相關客戶提供效勞的充分性。

（二）通過效勞水平報告、定期自我評估、內部或外部獨立審

計進展績效考核。

（三）針對績效不達標的情況調整流程，采取整改措施。

第五十四條加強信息科技相關外包管理工作，確保我行的

客戶資料等敏感信息的平安，包括但不限于采取以下措施：

（一）實現本銀行客戶資料與外包效勞商其他客戶資料的有

效隔離。

（二）按照“必需知道〃和“最小授權〃原那么對外包效勞商

相關人員授權。

（三）要求外包效勞商保證其相關人員遵守保密規(guī)定。

（四）應將涉及本銀行客戶資料的外包作為重要外包，并告知

相關客戶。

（五）嚴格控制外包效勞商再次對外轉包，采取足夠措施確保

我行相關信息的平安。

（六）確保在中止外包協(xié)議時收回或銷毀外包效勞商保存的

所有客戶資料。

第五十五條我行應建立恰當的應急措施，應對外包效勞商

在效勞中可能出現的重大缺失。尤其需要考慮外包效勞商的重大

資源損失，重大財務損失和重要人員的變動，以及外包協(xié)議的意

外終止。

第五十六條我行所有信息科技外包合同應由科