【文章內(nèi)容簡(jiǎn)介】 高級(jí)管理層應(yīng)審慎重大項(xiàng)目的風(fēng)險(xiǎn)評(píng)估報(bào)告。第十三條 銀行業(yè)金融機(jī)構(gòu)應(yīng)針對(duì)風(fēng)險(xiǎn)評(píng)估中發(fā)現(xiàn)的薄弱環(huán)節(jié)制定整改方案，明確整改時(shí)間。不具備整改條件的應(yīng)采取風(fēng)險(xiǎn)緩釋措施。第四章 投產(chǎn)及變更控制第十四條 銀行業(yè)金融機(jī)構(gòu)應(yīng)統(tǒng)一組織協(xié)調(diào)重要信息系統(tǒng)投產(chǎn)及變更工作，制定投產(chǎn)及變更規(guī)則，編制實(shí)施計(jì)劃和方案，確定實(shí)施策略和步驟，明確崗位職責(zé)，確保關(guān)鍵崗位職責(zé)分離。第十五條 銀行業(yè)金融機(jī)構(gòu)應(yīng)對(duì)重要信息系統(tǒng)投產(chǎn)及變更過(guò)程進(jìn)行安全審查，采取風(fēng)險(xiǎn)控制措施，有效控制重要信息系統(tǒng)投產(chǎn)及變更風(fēng)險(xiǎn)。第十六條 銀行金融機(jī)構(gòu)應(yīng)建立重要信息系統(tǒng)投產(chǎn)及變更內(nèi)容評(píng)審和審批、授權(quán)機(jī)制。第十七條 銀行業(yè)金融機(jī)構(gòu)應(yīng)按照對(duì)業(yè)務(wù)影響最小原則，采取與風(fēng)險(xiǎn)程度相適應(yīng)的重要信息系統(tǒng)投產(chǎn)及變更策略。第十八條 銀行業(yè)金融機(jī)構(gòu)應(yīng)合理避開(kāi)業(yè)務(wù)高峰期和敏感時(shí)段安排重要信息系統(tǒng)上線，應(yīng)提前將重要信息系統(tǒng)投產(chǎn)及變更可能對(duì)服務(wù)的影響告知客戶。第十九條 銀行業(yè)金融機(jī)構(gòu)應(yīng)建立充分、完整的測(cè)試體系，測(cè)試結(jié)果應(yīng)經(jīng)過(guò)信息科技部門和相關(guān)業(yè)務(wù)部門確認(rèn)，并形成測(cè)試和驗(yàn)收?qǐng)?bào)告，確保系統(tǒng)上線后的正常穩(wěn)定運(yùn)行以及系統(tǒng)功能與業(yè)務(wù)目標(biāo)的一致性。第二十條 銀行業(yè)金融機(jī)構(gòu)應(yīng)建立與生產(chǎn)環(huán)境相隔離的測(cè)試環(huán)境，測(cè)試環(huán)境應(yīng)模擬生產(chǎn)環(huán)境的真實(shí)情況。第二十一條 銀行業(yè)金融機(jī)構(gòu)應(yīng)建立完善的版本管理制度，制定嚴(yán)格的審批、控制和操作流程，保存完整的日志記錄。擬投產(chǎn)及變更的重要信息系統(tǒng)應(yīng)保證版本完整、準(zhǔn)確、有效，遵從系統(tǒng)開(kāi)發(fā)和運(yùn)行管理制度規(guī)范。第二十二條 銀行業(yè)金融機(jī)構(gòu)應(yīng)加強(qiáng)重要信息系統(tǒng)投產(chǎn)及變更過(guò)程中的數(shù)據(jù)管理與質(zhì)量控制；測(cè)試環(huán)境中使用的敏感生產(chǎn)數(shù)據(jù)應(yīng)進(jìn)行脫敏、變形處理；需要?dú)v史數(shù)據(jù)遷移的，應(yīng)制定詳細(xì)的數(shù)據(jù)遷移計(jì)劃，并提前進(jìn)行數(shù)據(jù)遷移測(cè)試和數(shù)據(jù)有效性、兼容性驗(yàn)證，確保遷移后數(shù)據(jù)的完整性、安全性和可用性。第二十三條 銀行業(yè)金融機(jī)構(gòu)應(yīng)制定重要信息系統(tǒng)投產(chǎn)及變更應(yīng)急預(yù)案，制定系統(tǒng)回退和應(yīng)急處置計(jì)劃和流程，必要時(shí)應(yīng)實(shí)施演練。第二十四條 重要信息系統(tǒng)投產(chǎn)及變更過(guò)程中，銀行業(yè)金融機(jī)構(gòu)應(yīng)嚴(yán)格執(zhí)行上線實(shí)施方案，加強(qiáng)監(jiān)督與復(fù)核，避免操作失誤和非法操作。第二十五條 銀行業(yè)金融機(jī)構(gòu)應(yīng)加強(qiáng)重要信息系統(tǒng)投產(chǎn)及變更過(guò)程的風(fēng)險(xiǎn)監(jiān)控和預(yù)警，各相關(guān)部門協(xié)同做好應(yīng)急準(zhǔn)備。第二十六條 銀行業(yè)金融機(jī)構(gòu)應(yīng)制定并落實(shí)系統(tǒng)運(yùn)行管理規(guī)程、制度，制定、完善相關(guān)業(yè)務(wù)管理辦法、操作規(guī)程，明確業(yè)務(wù)及運(yùn)行管理職責(zé)，組織必要的培訓(xùn)，確保投產(chǎn)及變更實(shí)施后業(yè)務(wù)順利開(kāi)展。第二十七條 銀行業(yè)金融機(jī)構(gòu)應(yīng)在重要信息系統(tǒng)投產(chǎn)及變更實(shí)施后，組織業(yè)務(wù)部門、管理部門和信息科技部門對(duì)投產(chǎn)及變更的有效性進(jìn)行驗(yàn)證。第二十八條 銀行業(yè)金融機(jī)構(gòu)應(yīng)在重要信息系統(tǒng)投產(chǎn)及變更實(shí)施后及時(shí)更新各項(xiàng)相關(guān)應(yīng)急預(yù)案，并適時(shí)實(shí)施演練。第二十九條 銀行業(yè)金融機(jī)構(gòu)應(yīng)對(duì)重要信息系統(tǒng)投產(chǎn)及變更過(guò)程產(chǎn)生的各類文檔資料進(jìn)行管理，確保文檔資料的完整性、及時(shí)性和有效性，并滿足獨(dú)立審計(jì)要求。第五章 投產(chǎn)及變更報(bào)告第三十條 銀行業(yè)金融機(jī)構(gòu)應(yīng)就重要信息系統(tǒng)投產(chǎn)及變更事項(xiàng)向中國(guó)銀監(jiān)會(huì)或其派出機(jī)構(gòu)報(bào)告。第三十一條 銀行業(yè)金融機(jī)構(gòu)應(yīng)在重要信息系統(tǒng)投產(chǎn)前至少20個(gè)工作日、變更前至少10個(gè)工作日向中國(guó)銀監(jiān)會(huì)或其派出機(jī)構(gòu)報(bào)告，包括但不限于：（一）總體說(shuō)明：投產(chǎn)及變更目的、內(nèi)容、計(jì)劃起止時(shí)間、業(yè)務(wù)影響范圍、聯(lián)系人及聯(lián)系方式等。（二）重要信息系統(tǒng)基本信息，包括：系統(tǒng)名稱、業(yè)務(wù)功能，操作系統(tǒng)、數(shù)據(jù)庫(kù)、中間件情況，應(yīng)用架構(gòu)、技術(shù)架構(gòu)、數(shù)據(jù)架構(gòu)，生產(chǎn)主機(jī)備份方案、數(shù)據(jù)備份方案，運(yùn)行管理等相關(guān)職能部門，是否納入災(zāi)難恢復(fù)計(jì)劃等。（三）重要信息系統(tǒng)安全策略和措施，包括對(duì)賬戶、交易和客戶敏感信息的安全控制措施等。（四）涉及基礎(chǔ)設(shè)施的，需提供基礎(chǔ)設(shè)施基本信息，包括機(jī)房和網(wǎng)絡(luò)方案。機(jī)房方案包括等級(jí)標(biāo)準(zhǔn)、地址、供配電系統(tǒng)、消防、空調(diào)、弱電系統(tǒng)、機(jī)房加固、機(jī)房空間規(guī)劃，以及機(jī)房驗(yàn)收?qǐng)?bào)告等；網(wǎng)絡(luò)方案包括網(wǎng)絡(luò)架構(gòu)分區(qū)、核心網(wǎng)絡(luò)備份情況，以及區(qū)域間、外聯(lián)網(wǎng)、互聯(lián)網(wǎng)邊界安全措施與網(wǎng)絡(luò)監(jiān)控措施等。（五）采取外包方式的，需提交外包服務(wù)機(jī)構(gòu)情況、外包服務(wù)內(nèi)容、外包風(fēng)險(xiǎn)評(píng)估報(bào)告等。（六）投產(chǎn)及變更方案，包括投產(chǎn)及變更的組織結(jié)構(gòu)與實(shí)施計(jì)劃、操作步驟等。（七）風(fēng)險(xiǎn)評(píng)估報(bào)告，應(yīng)包括業(yè)務(wù)影響分析，技術(shù)風(fēng)險(xiǎn)分析與評(píng)估，控制措施的有效性，以及剩余風(fēng)險(xiǎn)等。（八）應(yīng)急預(yù)案，包括應(yīng)急處置組織結(jié)構(gòu)，應(yīng)急場(chǎng)景，應(yīng)急處置流程、步驟，應(yīng)急聯(lián)系方式與報(bào)告路線等，實(shí)施演練的應(yīng)提交演練總結(jié)報(bào)告。第三十二條 銀行業(yè)金融機(jī)構(gòu)應(yīng)在重要信系統(tǒng)投產(chǎn)及變更實(shí)施后1個(gè)月內(nèi)向中國(guó)銀監(jiān)會(huì)或其派出機(jī)構(gòu)提交總結(jié)報(bào)告材料，內(nèi)容包括但不限于：投產(chǎn)及變更方案執(zhí)行情況、效果，問(wèn)題發(fā)現(xiàn)和處理情況，后續(xù)改進(jìn)措施等。如投產(chǎn)及變更失敗，應(yīng)詳細(xì)說(shuō)明失敗原因。第三十三條 銀行業(yè)金融機(jī)構(gòu)應(yīng)按照屬地監(jiān)管原則提交報(bào)告材料，報(bào)送路線如下：（一）銀行業(yè)金融機(jī)構(gòu)法人組織實(shí)施投產(chǎn)及變更的，由該法人機(jī)構(gòu)統(tǒng)一向中國(guó)銀監(jiān)會(huì)或其派出機(jī)構(gòu)提交報(bào)告材料。（二）銀行業(yè)金融機(jī)構(gòu)分行組織實(shí)施投產(chǎn)及變更的，由分行向所在地中國(guó)銀監(jiān)會(huì)派出機(jī)構(gòu)提交報(bào)告材料。第三十四條 重要信息系統(tǒng)投產(chǎn)及變更如失敗需要重新安排的，銀行業(yè)金融機(jī)構(gòu)應(yīng)再次向中國(guó)銀監(jiān)會(huì)或其派出機(jī)構(gòu)報(bào)告。第三十五條 銀行業(yè)金融機(jī)構(gòu)數(shù)據(jù)中心機(jī)房設(shè)立、場(chǎng)所變更，應(yīng)按照中國(guó)銀監(jiān)會(huì)有關(guān)數(shù)據(jù)中心管理規(guī)范報(bào)告。第六章 監(jiān)督管理第三十六條 針對(duì)銀行業(yè)金融機(jī)構(gòu)重要信息系統(tǒng)投產(chǎn)及變更風(fēng)險(xiǎn)，中國(guó)銀監(jiān)會(huì)及其派出機(jī)構(gòu)可以采取風(fēng)險(xiǎn)提示、約見(jiàn)談話、監(jiān)管質(zhì)詢等措施。第三十七條 中國(guó)銀監(jiān)會(huì)及其派出機(jī)構(gòu)可依法對(duì)銀行業(yè)金融的重要信息系統(tǒng)投產(chǎn)及變更實(shí)施現(xiàn)場(chǎng)檢查。第三十八條 銀行業(yè)金融機(jī)構(gòu)違反本辦法有關(guān)規(guī)定的，中國(guó)銀監(jiān)會(huì)及其派出機(jī)構(gòu)將依法追究相關(guān)責(zé)任。第七章 附則第三十九條 本辦法由中國(guó)銀監(jiān)會(huì)負(fù)責(zé)解釋和修訂。第四十條 本辦法自公布之日起執(zhí)行。第四篇：《銀行業(yè)金融機(jī)構(gòu)重要信息系統(tǒng)投產(chǎn)及變更管理辦法》(銀監(jiān)辦發(fā)[2009]437號(hào))20091229中國(guó)銀監(jiān)會(huì)辦公廳關(guān)于印發(fā)《銀行業(yè)金融機(jī)構(gòu)重要信息系統(tǒng)投產(chǎn)及變更管理辦法》的通知（銀監(jiān)辦發(fā)[2009]437號(hào)）各銀監(jiān)局，各政策性銀行、國(guó)有商業(yè)銀行、股份制商業(yè)銀行，郵政儲(chǔ)蓄銀行，各省級(jí)農(nóng)村信用聯(lián)社：為加強(qiáng)銀行業(yè)金融機(jī)構(gòu)重要信息系統(tǒng)投產(chǎn)及變更風(fēng)險(xiǎn)管理，保障銀行業(yè)金融機(jī)構(gòu)重要信息系統(tǒng)安全穩(wěn)定運(yùn)行，現(xiàn)將《銀行業(yè)金融機(jī)構(gòu)重要信息系統(tǒng)投產(chǎn)及變更管理辦法》印發(fā)給你們，請(qǐng)遵照?qǐng)?zhí)行。請(qǐng)各銀監(jiān)局將本通知轉(zhuǎn)發(fā)至轄內(nèi)各銀行業(yè)金融機(jī)構(gòu)。中國(guó)銀行業(yè)監(jiān)督管理委員會(huì) 二00九年十二月二十九日銀行業(yè)金融機(jī)構(gòu)重要信息系統(tǒng)投產(chǎn)及變更管理辦法第一章 總則第一條 為加強(qiáng)銀行業(yè)金融機(jī)構(gòu)重要信息系統(tǒng)投產(chǎn)及變更風(fēng)險(xiǎn)管理，根據(jù)《中華人民共和國(guó)銀行第二條 在中華人民共和國(guó)境內(nèi)設(shè)立的政策性銀行、國(guó)有商業(yè)銀行、股份制商業(yè)銀行、郵政儲(chǔ)蓄業(yè)監(jiān)督管理法》、《中華人民共和國(guó)商業(yè)銀行法》制定本辦法。銀行、城市商業(yè)銀行、農(nóng)村商業(yè)銀行、農(nóng)村合作銀行、農(nóng)村信用社、城市信用社、外商獨(dú)資銀行、中外合資銀行適用本辦法。中國(guó)銀行業(yè)監(jiān)督管理委員會(huì)（以下簡(jiǎn)稱中國(guó)銀監(jiān)會(huì)）監(jiān)管的其他金融機(jī)構(gòu)參照本辦法執(zhí)行。第三條 本辦法所稱的重要信息系統(tǒng)是指支撐重要業(yè)務(wù)，其信息安全和服務(wù)質(zhì)量關(guān)系公民、法人和其他組織的權(quán)益，或關(guān)系社會(huì)秩序、公共利益乃至國(guó)家安全的信息系統(tǒng)。包括面向客戶、涉及賬務(wù)處理且實(shí)時(shí)性要求較高的業(yè)務(wù)處理類、渠道類和涉及客戶風(fēng)險(xiǎn)管理等業(yè)務(wù)的管理類信息系統(tǒng)，以及支撐系統(tǒng)運(yùn)行的機(jī)房和網(wǎng)絡(luò)等基礎(chǔ)設(shè)施。第四條 本辦法所稱的重要信息系統(tǒng)投產(chǎn)及變更主要指：（一）重要信息系統(tǒng)投產(chǎn)。（二）支撐重要信息系統(tǒng)運(yùn)行的機(jī)房和網(wǎng)絡(luò)基礎(chǔ)設(shè)施投產(chǎn)。（三）影響全轄或一個(gè)（含）以上分行系統(tǒng)服務(wù)、重要業(yè)務(wù)中斷時(shí)間3小時(shí)（含）以上的重要信息系統(tǒng)以及支持其運(yùn)行的基礎(chǔ)設(shè)施變更，包括機(jī)房場(chǎng)地遷移、網(wǎng)絡(luò)及核心業(yè)務(wù)系統(tǒng)應(yīng)用架構(gòu)變更、核心業(yè)務(wù)系統(tǒng)版本變更等。（四）其他對(duì)銀行重要業(yè)務(wù)運(yùn)營(yíng)及重要信息系統(tǒng)的可用性、完整性、安全性具有較大潛在影響的投產(chǎn)及變更。第二章 組織管理第五條 銀行業(yè)金融機(jī)構(gòu)應(yīng)健全I(xiàn)T治理結(jié)構(gòu)，落實(shí)重要信息系統(tǒng)投產(chǎn)及變更管理責(zé)任。第六條 銀行業(yè)金融機(jī)構(gòu)高級(jí)管理層應(yīng)統(tǒng)籌管理重要信息系統(tǒng)建設(shè)，聽(tīng)取重大項(xiàng)目投產(chǎn)或變更的第七條 銀行業(yè)金融機(jī)構(gòu)信息科技部門應(yīng)建立重要信息系統(tǒng)投產(chǎn)及變更管理機(jī)制、制度與流程，風(fēng)險(xiǎn)評(píng)估匯報(bào)，對(duì)風(fēng)險(xiǎn)控制過(guò)程進(jìn)行監(jiān)督。承擔(dān)技術(shù)管理工作，協(xié)調(diào)業(yè)務(wù)、管理部門開(kāi)展重要信息系統(tǒng)投產(chǎn)及變更工作，保障信息科技資源投入。第八條 銀行業(yè)金融機(jī)構(gòu)業(yè)務(wù)、管理部門應(yīng)配合信息科技部門開(kāi)展投產(chǎn)及變更工作，開(kāi)展業(yè)務(wù)影響分析，制定業(yè)務(wù)管理辦法，組織用戶測(cè)試，保證業(yè)務(wù)資源投入。第九條 銀行業(yè)金融機(jī)構(gòu)內(nèi)部審計(jì)部門應(yīng)開(kāi)展重要信息系統(tǒng)投產(chǎn)及變更審計(jì)工作，針對(duì)問(wèn)題發(fā)現(xiàn)提出整改意見(jiàn)。第三章 風(fēng)險(xiǎn)評(píng)估第十條 銀行業(yè)金融機(jī)構(gòu)應(yīng)充分識(shí)別、分析、評(píng)估重要信息系統(tǒng)投產(chǎn)及變更風(fēng)險(xiǎn)，包括系統(tǒng)功能缺陷、客戶信息泄露、業(yè)務(wù)中斷、交易緩慢或其他因素可能造成的操作風(fēng)險(xiǎn)、法律風(fēng)險(xiǎn)和聲譽(yù)風(fēng)險(xiǎn)，并形成風(fēng)險(xiǎn)評(píng)估報(bào)告。第十一條 銀行業(yè)金融機(jī)構(gòu)在采取有效信息安全控制措施的前提下，可委托外部專家或具備相應(yīng)第十二條 銀行業(yè)金融機(jī)構(gòu)董事會(huì)及高級(jí)管理層應(yīng)審核重大項(xiàng)目的風(fēng)險(xiǎn)評(píng)估報(bào)告。第十三條 銀行業(yè)金融機(jī)構(gòu)應(yīng)針對(duì)風(fēng)險(xiǎn)評(píng)估中發(fā)現(xiàn)的薄弱環(huán)節(jié)制定整改方案，明確整改時(shí)間。不資質(zhì)的外部專業(yè)機(jī)構(gòu)進(jìn)行重要信息系統(tǒng)投產(chǎn)及變更的風(fēng)險(xiǎn)評(píng)估工作。具備整改條件的應(yīng)采取風(fēng)險(xiǎn)緩釋措施。第四章 投產(chǎn)及變更控制第十四條 銀行業(yè)金融機(jī)構(gòu)應(yīng)統(tǒng)一組織協(xié)調(diào)重要信息系統(tǒng)投產(chǎn)及變更工作，制定投產(chǎn)及變更第十五條 銀行業(yè)金融機(jī)構(gòu)應(yīng)對(duì)重要信息系統(tǒng)投產(chǎn)及變更過(guò)程進(jìn)行安全審查，采取風(fēng)險(xiǎn)控制措施，第十六條 銀行金融機(jī)構(gòu)應(yīng)建立重要信息系統(tǒng)投產(chǎn)及變更內(nèi)容評(píng)審和審批、授權(quán)機(jī)制。第十七條 銀行業(yè)金融機(jī)構(gòu)應(yīng)按照對(duì)業(yè)務(wù)影響最小原則，采取與風(fēng)險(xiǎn)程度相適應(yīng)的重要信息系統(tǒng)第十八條 銀行業(yè)金融機(jī)構(gòu)應(yīng)合理避開(kāi)業(yè)務(wù)高峰期和敏感時(shí)段安排重要信息系統(tǒng)上線，應(yīng)提前將第十九條 銀行業(yè)金融機(jī)構(gòu)應(yīng)建立充分、完整的測(cè)試體系，測(cè)試結(jié)果應(yīng)經(jīng)過(guò)信息科技部門和相關(guān)規(guī)則，編制實(shí)施計(jì)劃和方案，確定實(shí)施策略和步驟，明確崗位職責(zé)，確保關(guān)鍵崗位職責(zé)分離。有效控制重要信息系統(tǒng)投產(chǎn)及變更風(fēng)險(xiǎn)。投產(chǎn)及變更策略。重要信息系統(tǒng)投產(chǎn)及變更可能對(duì)服務(wù)的影響告知客戶。業(yè)務(wù)部門確認(rèn)，并形成測(cè)試和驗(yàn)收?qǐng)?bào)告，確保系統(tǒng)上線后的正常穩(wěn)定運(yùn)行以及系統(tǒng)功能與業(yè)務(wù)目標(biāo)的一致性。第二十條 銀行業(yè)金融機(jī)構(gòu)應(yīng)建立與生產(chǎn)環(huán)境相隔離的測(cè)試環(huán)境