《xxxx银行信息科技外包战略及管理办法》由会员分享,可在线阅读,更多相关《xxxx银行信息科技外包战略及管理办法(27页珍藏版)》请在金锄头文库上搜索。
1、xxxx信息科技外包战略及管理办法第一章 总 则7i )第一条 为了规范 xxxx 银行(以下简称“我行”)的信 息科技外包 活动, 保障我行信息系统安全持续稳定运行, 降低信 息科技外包风险 ,依 据中国银监会颁布的 银行业金融机构信息 科技外包风险监管指引 、 银行业金融机构外包风险管理指引 、 中华人民共和国银行业监督管理 法、 中华人民共和国商业 银行法等法律法规,制定本办法。J J 第二条 本办法所称信息科技外包是指我行将原本由自身 负责处理的 信息科技活动委托给服务提供商进行处理的行为, 包 含项目外包、人力资源 外包等形式。原则上包括以下类型:(一)研发咨询类外包:科技管理及科技
2、治理等咨询设计 外包,规划、需求、系统开发、测试外包;(二)系统运行维护类外包:包括数据中心(灾备中心)、 机房配套设施、网络、系统的运维外包,自助设备、 POS 机等远 程终端及办公设备 的运维外包;(三)业务外包中的信息科技活动:市场拓展、业务操作、 企业管 理、 资产处置等外包中的系统开发、 运行维护和数据处理 活动。7i ) 第三条 信息科技外包可能产生如下风险,并导致我行的 战略、声 誉、合规风险: 一) 科技能力丧失:我行过度依赖外部资源导致失去科 技 控制及创新能力,影响业务创新与发展;二) 业务中断:支持业务运营的外包服务无法持续提供 导致业务中断;三) 信息泄露:包含客户信息
3、在内的我行非公开数据被 服务提供商非法获得或泄露;(四)服务水平下降:由于外包服务质量问题或内外部协 作效率低 下,使得我行信息科技服务水平下降。第四条 本办法所称机构集中度风险是指我行将信息科技 外包服务集 中交由少量服务提供商承接而产生的风险, 该风险可 能造成集中性的服务中 断、质量下降、安全事件等。7t-/t- i第五条 本办法所称同业托管机构是指作为外包服务提供 商为其他同 行业金融机构提供信息科技外包服务的银行业金融 机构。7i J 第六条 实施信息科技外包时应当坚持以下原则:(一)以不妨碍核心能力建设、 积极掌握关键技术为导向;(二)保持外包风险、成本和效益的平衡;(三)强调外包
4、风险的事前控制,保持管控力度;(四)根据外包管理及技术发展趋势,持续改进外包策略和措施。第七条 银行业金融机构在实施信息科技外包时,不得将 信息科技管 理责任外包。第八条本办法管理内容涉及科技信息外包的各个流程, 包括外包项目的建立、 执行、监控、考核评价、 持续改进等过程。第九条本办法参照中国银监会银行业金融机构信息科 技外包风险监管指引 中信息科技外包风险控制要求制订, 目标 是明确信息科技外包 管理要求, 防范和控制我行信息科技外包风 险,保证外包流程规范化并能达 到预期成效。第二章 组织架构及职责第十条 我行外包管理的组织架构包括高级管理层和信息 科技外包专 职主管部门, 其中信息科技
5、外包专职主管部门为我行 科技开发部。第十一条 我行高级管理层的职责主要包括以下方面:(一)确定外包管理部门职责, 并对其行为进行有效监督。(二)审议批准信息科技外包的战略发展规划;(三)审议批准信息科技外包的风险管理制度;(四)审议批准信息科技外包业务的范围及相关安排;(五)审阅本机构外包活动相关报告;7t-/t I(六)安排内部审计, 确保审计范围涵盖所有的外包活动。 第十二条 信息科技外包专职主管部门的职责主要包括 以下方面:(一)制定信息科技外包的战略发展规划;(二)制定并执行信息科技外包风险管理的政策、操作流程和内控制度;(三)根据我行信息科技建设规划或外包服务需求,结合我行信息科技的
6、建设情况, 确立外包项目的范围、 内容和相关安 排、制定外包年度计 划及外包阶段性计划;(四)负责信息科技外包活动的日常管理, 包括尽职调查、 合同签 署以及外包服务技术指标的制定等;(五)负责形成信息科技外包项目情况汇总报告,提交我 行高级管理层及风险管理部、审计部和法律合规部等相关部门;(六)根据我行风险管理部、审计部和法律合规部对外包 项目评估、审计以及提出的风险管理意见对信息科技外包项目实 施优化和改进;七) 在发现外包服务提供商的业务活动存在缺陷时,采 取及时有效的措施;(八) 高级管理层确定的其他职责。7t-/t I 第十三条 信息科技外包管理涉及的部门包括:外包管 理部门、外 包
7、使用部门(外包直接应用部门) 、外包审批部门以 及外包审计部门、外包 风险管理部门等。第十四条 我行科技开发部作为信息科技服务外包管理 部门,其基 本职能如下:(一)根据我行信息科技建设规划或外包服务需求,结合 全行信息科 技资源的整体分布和建设情况, 确立外包项目的范围 和内容、制定外包年度 计划及外包阶段性计划;(二)负责协调和组织外包资源, 管理外包资源台账信息;(三)规范和制定外包合同和外包服务水准的基本要求;(四)主持或协助相关部门签定外包服务合同、制定外包 服务水准协议,科技开发部主要负责制定技术指标要求;(五)规范和制定外包监控制度、考核评价机制和持续改 进办法、组织验收考核;(
8、六)负责定期形成外包项目情况汇总报告,提交相关业 务管理部门、风险管理部门及高级管理层;(七)根据我行审计部门或风险管理部门对外包项目评估、 审计以及提出的风险管理意见对信息科技外包项目实施优化和 改进。第十五条 享有信息科技外包服务或外包服务的直接应 用部门为外 包使用部门,基本职能如下:(一)负责编写提交信息科技外包服务业务需求;(二)参与制定外包服务合同以及外包服务水准,外包使 用部门主要负责业务指标和相关罚则的制定;(三)参与对外包公司和外包人员的考核和评审;(四)协助外包管理部门共同管理外包过程。7t-/t I 第十六条我行审计部为信息科技外包的审计部门,负 责对信息科技外包项目进行
9、事前、事中和事后审计。第十七条我行风险管理部门为信息科技外包的风险管 理部门, 负责根据科技开发部提交的外包项目风险评估报告, 发 现和控制项目过程中的 风险。第三章 外包战略及管理第十八条 我行应当以提升信息科技队伍能力,提高科 技管理及创 新水平, 掌握信息科技核心技能为目标, 基于信息科 技战略、 外包市场环 境、 自身风险控制能力和风险偏好制定信息 科技外包战略,包括:不能外包 的职能、资源能力建设方案、供 应商关系管理策略和外包分级管理策略。第十九条 我行根据自身信息科技战略,明确涉及战略 管理、风险 管理、 内部审计及其他有关信息科技核心竞争力的职 能不得外包,且不得将 信息科技管
10、理责任外包。7i ) I第二十条 我行在进行信息科技外包活动前必须进行外 包风险评 估。在外包风险评估阶段应考虑以下因素 :(一)我行的战略目标和业务需要。(二)我行评估和监视外包关系的能力。(三)我行的关键服务和重要服务。(四)外包活动的需求说明。(五)必要的控制和报告过程。(六)服务提供商在合同中的权利和义务。(七)偶发事件的处理 ,包括改变服务提供商的可能性以及 改变服务提 供商时所需要的成本和资源。7i ) |第二十一条 必须选择合适的服务提供商。在完成自身 的风险评估 后, 我行必须对服务提供商进行评估以决定其财务和 运作方面的能力是否能 满足需要。在选择IT外包服务提供商时必须对提
11、供商支持外包业务的技术 能力、关键人员的业务能力、 业务处理的操作和控制能力以及提供商的财务 状况等进行全面评估 ,以选择业务能力强、信誉好的服务提供商。(一)外包服务提供商技术水平与专业人员的业务能力评 估。主要包 括对外包服务提供商提供给金融机构所需服务和技术 支持的经验和能力、 服 务失败或业务系统遭黑客入侵等偶发事件 的应对能力、 在预期的操作环境下 提供服务的经验、 提供外包业 务关键人员的业务能力和敬业精神与职业道德 等进行评估。(二)安全、保密措施与保险覆盖范围的审查。主要是审 查服务提供 商处理设备管理、系统安全性、个人隐私保护、数据 记录维护、 系统灾难恢 复、 系统开发和维
12、护以及职员背景等工作 的标准、 策略和过程是否充分; 考查服务提供商是否提供了充分 而谨慎的安全措施 , 包括防火墙、加密、客 户身份认证、对金融 机构资源的保护和对入侵的检测与应对措施等; 考查服 务提供商 是否对诸如欺诈、火灾、数据丢失、文档失窃等进行保险。三) 评估外包服务提供商对相关法律法规和专业知识的 了解程度。 应该评估外包服务提供商需要向金融机构学习的金融 专业知识、外包服务提 供商对与我行 IT 外包业务相关的法律法 规的了解程度等。(四)财务状况与信誉考察。应通过其它用户和咨询机构 了解外包服 务提供商的信誉和表现。 分析服务提供商提供的已经 审计过的报告、 年终 报告和其它
13、指标等。 考查服务提供商在金融 行业中服务的时间、 占据的市 场份额及其波动情况。 评估服务提 供商的技术费用支付能力 , 如服务提供商 在财务上是否有能力投 资和支持金融机构 IT 外包业务所需的技术等。考查 金融机构是否可以完全、及时地取得由提供商保有的资料。J J I 第二十二条 制定适当的外包合同。外包合同是实现外 包策略最关 键的一个环节 , 我行在制定外包合同时 , 应该注意以 下几个方面的问题:(一)明确的服务边界和灵活的外包协议。 在外包合同中 , 我行必须 清晰、 明确地指出服务范围, 以便服务提供商明确自己 的职责。同时,外 包合同 ( 特别是长期外包合同 ) 应具有充分的
14、 弹性以允许在技术和操作 方面进行改革或应对技术、 业务、甚至 策略目标方面可能出现的变化。(二)合理的服务级别说明和度量。服务级别说明与度量 用来衡量服 务提供商的质量表现 (perfor2mance) 。因此, 应重点 衡量我行通过 IT 外包所期望达到的结果和服务水平,而不是把 重点放在技术细节上或只关注 项目的进展速度。(三)明确赔偿责任与争端解决程序。外包服务合同中应 包含惩罚服 务提供商未能提供约定服务级别的条款。 同时,为了 在争端出现时迅速解决 争端以及在争端出现时可继续提供服务, 合同中还应包括解决双方争端的程 序。(四)安全性与机密性要求。 合同应声明我行各种资源 ( 如
15、信 息、硬件、软件等 ) 的安全性和机密性要求。除了与外包服务 密切相关的 信息外, 还应禁止外包服务提供商使用和揭露我行的 其它信息, 防止未经 授权的使用。 我行应提醒服务提供商注意个 人隐私保护方面的法律条款, 防止服务提供商泄露客户的有关信(五)稽核权利。我行在外包合同中应指明获取外包服务 提供商各种 审计报告的权利 ( 如财务报告、性能报告、内部控制 报告、安全检查报告 等 ) 。合同中也可指明稽核的频率以及相关 费用等。对于重大的外包服务 活动 , 还应考虑在合同中明确由具 有专业知识的独立的第三方来执行阶段性 的稽核工作, 我行应该 要求获得详细的存取安全性持续审计结果的权利。(六)偶发事件的应对计划。合同应包括外包服务提供商 在备份和记 录保护方面的责任 ( 包括设备、软件和数据文件的维 护等 ) ,以及执行 测试计划和将其结果提交给我行的责任。(七)限制成本增加和终止合同的权利。合同应充分指明 基础服务的 费用及其计算,包括任何开发、转化、重复的服务以 及特殊需求的费用。 还 应明确购买和维护软、 硬件的责任与成本, 并明确在成本结构改变的条件下 任何可能发生