银行信息科技外包风险管理办法

《银行信息科技外包风险管理办法》由会员分享，可在线阅读，更多相关《银行信息科技外包风险管理办法（17页珍藏版）》请在金锄头文库上搜索。

1、大洼恒丰村镇银行信息科技外包风险管理办法批准人签字审核人签字制订人签字日期：日期：日期：变更履历91llbbm m/w 可橋！M删翩矽雪 賊导艇删翩ASWll.鼻EWmm里阪驯鼻h YWSSHmtf a-w eawww aeawWWW 鼻F esmWBimiww =w a=wliW-WWSSWWWWSBi0t（ PJom 辞）（完整word版）银行信息科技外包风险管理办法第一条 为规范我行的信息科技外包活动，降低信息科技外包风险， 根据中华人民共和国银行业监督管理法、中华人民共和国商业银行 法、银行业金融机构信息科技外包风险监管指引等法律法规，制定本 办法。第二条 本办法所称信息科技外包是指我

2、行将原本由自身负责处理的 信息科技活动委托给服务提供商进行处理的行为，包含项目外包、人力资 源外包等形式。包括以下类型：（一）研发咨询类外包：科技管理及科技治理等咨询设计外包，规划 需求、系统开发、测试外包；（二）系统运行维护类外包：包括数据中心（灾备中心）、机房配套设 施、网络、系统的运维外包，自助设备、POS机等远程终端及办公设备 的运维外包；（三）业务外包中的信息科技活动：市场拓展、业务操作、企业管理 资产处置等外包中的系统开发、运行维护和数据处理活动。第三条 我行应将信息科技外包管理纳入全面风险管理体系，建立与 本行信息科技战略目标相适应的外包管理体系，控制或降低由于外包而引发的风险。

3、第四条 我行在实施信息科技外包时应当坚持以下原则：（一）以不妨碍核心能力建设、积极掌握关键技术为导向；（二）保持外包风险、成本和效益的平衡；（三）强调外包风险的事前控制，保持管控力度；（四）根据外包管理及技术发展趋势，持续改进外包策略和措施。第五条 我行在实施信息科技外包时，不得将信息科技管理责任外包第二章 外包管理组织架构（完整word版）银行信息科技外包风险管理办法第六条 为了严格落实我行信息科技外包风险管理的相关职责 , 我行 设立外包风险管理领导小组，领导小组成员如下：组 长：荆晓辉副组长：宇文梁成 员：任义、何亮外包风险管理领导小组主要职责包括：（一）制定并审批信息科技外包战略；（二

4、）审议信息科技外包管理流程及制度；（三）督促并监控信息科技外包风险管理效果。第七条 由内审稽核部作为我行信息科技外包风险主管部门，主要职 责包括：（一）对外包风险进行识别、评估与风险提示；（二）监督、评价外包管理工作，并督促外包风险管理的持续改善；（三）向高级管理层定期汇报信息科技外包活动相关风险管理情况；（四）董事会或高级管理层确定的其他信息科技外包风险管理职责。第八条 我行信息科技部设立信息科技外包管理岗，履行以下职责：（一）实施信息科技外包战略；（二）制定并执行信息科技外包管理制度与流程；（三）执行供应商准入、评价、退出管理，建立并维护供应商关系管 理策略；（四）制定保障外包服务持续性的

5、应急管理方案，并组织实施定期演 练；（五）对外包过程中的各项管理活动进行监控及分析，定期向信息科 技及外包风险管理主管部门报告外包活动情况。（完整word版）银行信息科技外包风险管理办法第三章 信息科技外包战略及风险管理第一节 信息科技外包战略第九条 我行应制定信息科技外包战略规划，以提升信息科技队伍能 力，提高科技管理及创新水平，掌握信息科技核心技能为目标，基于信息 科技战略、外包市场环境、自身风险控制能力和风险偏好制定信息科技外 包战略，包括：不能外包的职能、资源能力建设方案、供应商关系管理策 略和外包分级管理策略。第十条 我行根据自身信息科技战略，不能外包的职能包括：涉及战 略管理、风险

6、管理、内部审计及其他有关信息科技核心竞争力的职能。第十一条 我行应当根据外包战略制定资源、能力建设方案，通过补 充人员、提升技能、知识转移等方式，有针对性地获取或提升管理及技术 能力，降低对服务提供商的依赖。第十二条 我行应当建立与自身规模、市场地位相适应的供应商关系 管理策略。通过准入和退出机制合理管控各类高风险服务提供商的数量， 实现以下目标：防范行业垄断和机构集中度风险，通过引入适当的竞争在 降低采购成本的同时提高服务质量，合理管控服务提供商的数量从而降低 风险及管理成本等。第十三条 我行应按照外包服务性质和重要性程度对服务提供商进行 分级管理，对不同级别的服务提供商采取差异化的管控措施

7、，在有效管理 重要风险的前提下降低管理成本第二节 信息科技外包风险管理第十四条 由内审稽核部负责我行信息科技外包风险管理工作，并每 年开展一次全面的外包风险管理评估，保持评估的独立性，同时向高级管 理层提交评估报告。评估内容包括：信息科技外包战略执行情况、外包信（完整word版）银行信息科技外包风险管理办法 息安全、机构集中度、服务连续性、服务质量、政策及市场变化对外包服 务的影响分析等。第十五条 内审稽核部应对重要的外包服务提供商进行定期的风险评 估，保持评估的独立性。至少在三年内覆盖所有重要的服务提供商。评估 内容包括：服务提供商合规情况、服务的执行效果等，评估结果应当作为 服务提供商准入

8、及退出的重要依据。第十六条 由我行内审稽核部定期开展信息科技外包风险管理审计工 作，至少每三年对重要的外包服务活动进行一次全面审计。发生外包风险 事件后应当及时开展专项审计。第四章 信息科技外包管理第一节 外包风险评估及准入第十七条 在外包项目立项前，我行应当审慎检查项目与信息科技外包战略的一致性，根据项目内容、范围、性质对其进行风险识别和评估， 制定相应的风险处置措施，不因外包活动的引入而增加整体剩余风险。重 大外包项目应向董事会、高管层报告。第十八条 我行对外包商实行准入管理，对于不符合准入条件的外包商应拒绝与其进行科技合作，我行外包商准入标准如下：（一）外包服务商应当是中华人民共和国境内

9、注册的独立法人实体， 注册资本和实收资本不少于1000万，注册成立时间不少于 3 年。（二）外包服务商应当拥有健全的组织架构，并针对所提供的外包服 务建立有效的风险治理架构，至少应当建立由公司高级管理层直接领导、 针对我行外包服务的、专职信息科技风险管理团队，为持续的外包服务提 供保证。三）外包服务商应当建立与所承担的服务范围和规模相适应的服务管(完整word版)银行信息科技外包风险管理办法理体系，建立完善的信息安全、服务质量、服务持续性等管理制度体系， 拥有有效的检查、监控和考核机制，确保管理规范有效执行。(四) 外包服务商应当具有足够的技术能力、人力资源和设施、环境， 满足外包服务的质量和

10、安全管理要求。外包服务场地应当设置在中国境 内。(五) 外包服务商应具有如下相关领域资质认证:(1) 具有完善的信息安全管理体系、业务连续性管理体系，并通过业 界公认较为权威的信息安全管理和业务连续性管理资质认证。(2) 具有完善的质量管理体系，并通过业界公认较为权威的质量管理资 质认证。(3) 为我行提供数据中心、灾备中心机房及基础设施外包服务的外包服 务商，其机房及基础设施应当达到国家电子计算机机房最高标准。(4) 承担集中存贮我行客户数据的业务交易系统外包服务，或承担我行 客户资料、交易数据等敏感信息的批量分析或处理服务的外包服务商，应 当具有完善的运行服务管理体系，并通过业界公认较为权

11、威的运行服务管 理资质认证。(五) 我行对外包服务商在风险管理、审计方面提出如下要求：(1) 外包服务商应当具有信息科技风险的管理体系，有效识别、监测、 评估和控制风险。外包服务商应当至少每季度向我行报送外包风险监控报 告，针对监控发现的潜在风险或风险事件，及时采取控制或缓释措施。(2) 外包服务商应当每年聘请独立的审计机构 ,对自身外包服务进行风 险评估,年度风险评估报告需报送所服务的银行业金融机构，并抄送银监 会或其派出机构。(3) 外包服务商应当对其外包服务团队成员进行背景调查，确保其过往（完整word版）银行信息科技外包风险管理办法 无不良记录，且应当与项目成员签订保密协议，并保留至少

12、10 年的法律 追诉期。第二节 服务提供商尽职调查第十九条 我行在与外包服务提供商签订合同前需深入开展尽职调 查。尽职调查报告包括但不限于：服务能力和支持技术、服务经验、服务 人员技能、市场评价、监管评价、内部控制机制和管理流程的完善程度、 内部控制技术和工具、从业时间、市场地位及发展趋势、资金的安全性、 近期盈利情况等。第二十条 我行在实施外包服务项目前，应当与服务提供商签订服务 合同。合同应当根据外包服务需求、风险评估及尽职调查结果确定详细程 度和重点。第二十一条 我行在合同或协议中应当明确以下内容，包括但不限于：（一）服务范围、服务内容、工作时限及安排、责任分配、交付物要 求以及后续合作

13、中的相关限定条件；（二）合规与内控要求，对法律法规及我行内部管理制度的遵从要求、 监管政策的通报贯彻机制、服务提供商的内控措施；（三）服务连续性要求，服务提供商的服务连续性管理目标应当满足 我行业务连续性目标要求；（四）我行监控和检查的权利、频率，服务提供商配合其内、外部审 计机构检查，及配合银行业监管机构检查的责任；（五）政策或环境变化因素等在内的合同变更或终止的触发条件，外 包服务提供商在过渡期间应该履行的主要职责及合同变更或终止的过渡 安排，包括信息、资料和设施的交接处置等过渡期间相关服务的安排；（六）外包服务过程中产生、加工、交互的信息和知识产权的归属权 以及允许服务提供商使用的内容及

14、范围，对服务提供商使用合法软、硬件 产品的要求；（七）服务要求或服务水平条款，至少应当包括如下内容：外包服务 的关键要素、服务时效和可用性、数据的机密性和完整性要求、变更的控 制、安全标准的遵守情况、技术支持水平等；（八）争端解决机制、违约及赔偿条款，至少包括如下内容：服务质 量违约、安全违约、知识产权违约等，及在各种违约情况下的赔偿以及外 包争端的解决机制；（九）报告条款，至少包括常规报告内容和报告频度、突发事件时的 报告路线、报告方式及时限要求。第二十二条 我行需在合同或协议中明确服务提供商在安全和保密方面的责任，以及针对安全及保密要求需采取的具体措施。包括但不限于：（一）禁止服务提供商在

15、合同允许范围外使用或者披露我行的信息， 以防止信息被非授权使用；（二）在合同或协议中约定服务提供商对银行客户信息安全和银行客 户权利的保护条款、事故处理方式及违约赔偿条款；（三）在合同或协议中约定服务提供商不得以所服务的我行名义开展 活动；（四）服务提供商接触我行信息时，需满足安全和保密相关条款的要 求；（五）在发生银监会规定的信息科技突发事件，或发生可能引发系统 性、区域性银行业信息科技风险类突发事件时，服务提供商应及时向我行 报告，包括事件的影响以及处置和纠正措施。（完整word版）银行信息科技外包风险管理办法第二十三条 我行需在合同或协议中明确要求服务提供商不得将外包服务转包和变相转包。第四节 外包服务安全管理第二十条 我行应当制定和落实信息安全管控措施，防范因外包活动引起的信息泄露、信息篡改、信息不可用、非法入侵、物理环境或设施 遭受破坏等风险。具体措施包括：（