【文章內(nèi)容簡介】 高級管理層應(yīng)審慎重大項目的風(fēng)險評估報告。第十三條 銀行業(yè)金融機(jī)構(gòu)應(yīng)針對風(fēng)險評估中發(fā)現(xiàn)的薄弱環(huán)節(jié)制定整改方案，明確整改時間。不具備整改條件的應(yīng)采取風(fēng)險緩釋措施。第四章 投產(chǎn)及變更控制第十四條 銀行業(yè)金融機(jī)構(gòu)應(yīng)統(tǒng)一組織協(xié)調(diào)重要信息系統(tǒng)投產(chǎn)及變更工作，制定投產(chǎn)及變更規(guī)則，編制實施計劃和方案，確定實施策略和步驟，明確崗位職責(zé)，確保關(guān)鍵崗位職責(zé)分離。第十五條 銀行業(yè)金融機(jī)構(gòu)應(yīng)對重要信息系統(tǒng)投產(chǎn)及變更過程進(jìn)行安全審查，采取風(fēng)險控制措施，有效控制重要信息系統(tǒng)投產(chǎn)及變更風(fēng)險。第十六條 銀行金融機(jī)構(gòu)應(yīng)建立重要信息系統(tǒng)投產(chǎn)及變更內(nèi)容評審和審批、授權(quán)機(jī)制。第十七條 銀行業(yè)金融機(jī)構(gòu)應(yīng)按照對業(yè)務(wù)影響最小原則，采取與風(fēng)險程度相適應(yīng)的重要信息系統(tǒng)投產(chǎn)及變更策略。第十八條 銀行業(yè)金融機(jī)構(gòu)應(yīng)合理避開業(yè)務(wù)高峰期和敏感時段安排重要信息系統(tǒng)上線，應(yīng)提前將重要信息系統(tǒng)投產(chǎn)及變更可能對服務(wù)的影響告知客戶。第十九條 銀行業(yè)金融機(jī)構(gòu)應(yīng)建立充分、完整的測試體系，測試結(jié)果應(yīng)經(jīng)過信息科技部門和相關(guān)業(yè)務(wù)部門確認(rèn)，并形成測試和驗收報告，確保系統(tǒng)上線后的正常穩(wěn)定運行以及系統(tǒng)功能與業(yè)務(wù)目標(biāo)的一致性。第二十條 銀行業(yè)金融機(jī)構(gòu)應(yīng)建立與生產(chǎn)環(huán)境相隔離的測試環(huán)境，測試環(huán)境應(yīng)模擬生產(chǎn)環(huán)境的真實情況。第二十一條 銀行業(yè)金融機(jī)構(gòu)應(yīng)建立完善的版本管理制度，制定嚴(yán)格的審批、控制和操作流程，保存完整的日志記錄。擬投產(chǎn)及變更的重要信息系統(tǒng)應(yīng)保證版本完整、準(zhǔn)確、有效，遵從系統(tǒng)開發(fā)和運行管理制度規(guī)范。第二十二條 銀行業(yè)金融機(jī)構(gòu)應(yīng)加強(qiáng)重要信息系統(tǒng)投產(chǎn)及變更過程中的數(shù)據(jù)管理與質(zhì)量控制；測試環(huán)境中使用的敏感生產(chǎn)數(shù)據(jù)應(yīng)進(jìn)行脫敏、變形處理；需要歷史數(shù)據(jù)遷移的，應(yīng)制定詳細(xì)的數(shù)據(jù)遷移計劃，并提前進(jìn)行數(shù)據(jù)遷移測試和數(shù)據(jù)有效性、兼容性驗證，確保遷移后數(shù)據(jù)的完整性、安全性和可用性。第二十三條 銀行業(yè)金融機(jī)構(gòu)應(yīng)制定重要信息系統(tǒng)投產(chǎn)及變更應(yīng)急預(yù)案，制定系統(tǒng)回退和應(yīng)急處置計劃和流程，必要時應(yīng)實施演練。第二十四條 重要信息系統(tǒng)投產(chǎn)及變更過程中，銀行業(yè)金融機(jī)構(gòu)應(yīng)嚴(yán)格執(zhí)行上線實施方案，加強(qiáng)監(jiān)督與復(fù)核，避免操作失誤和非法操作。第二十五條 銀行業(yè)金融機(jī)構(gòu)應(yīng)加強(qiáng)重要信息系統(tǒng)投產(chǎn)及變更過程的風(fēng)險監(jiān)控和預(yù)警，各相關(guān)部門協(xié)同做好應(yīng)急準(zhǔn)備。第二十六條 銀行業(yè)金融機(jī)構(gòu)應(yīng)制定并落實系統(tǒng)運行管理規(guī)程、制度，制定、完善相關(guān)業(yè)務(wù)管理辦法、操作規(guī)程，明確業(yè)務(wù)及運行管理職責(zé)，組織必要的培訓(xùn)，確保投產(chǎn)及變更實施后業(yè)務(wù)順利開展。第二十七條 銀行業(yè)金融機(jī)構(gòu)應(yīng)在重要信息系統(tǒng)投產(chǎn)及變更實施后，組織業(yè)務(wù)部門、管理部門和信息科技部門對投產(chǎn)及變更的有效性進(jìn)行驗證。第二十八條 銀行業(yè)金融機(jī)構(gòu)應(yīng)在重要信息系統(tǒng)投產(chǎn)及變更實施后及時更新各項相關(guān)應(yīng)急預(yù)案，并適時實施演練。第二十九條 銀行業(yè)金融機(jī)構(gòu)應(yīng)對重要信息系統(tǒng)投產(chǎn)及變更過程產(chǎn)生的各類文檔資料進(jìn)行管理，確保文檔資料的完整性、及時性和有效性，并滿足獨立審計要求。第五章 投產(chǎn)及變更報告第三十條 銀行業(yè)金融機(jī)構(gòu)應(yīng)就重要信息系統(tǒng)投產(chǎn)及變更事項向中國銀監(jiān)會或其派出機(jī)構(gòu)報告。第三十一條 銀行業(yè)金融機(jī)構(gòu)應(yīng)在重要信息系統(tǒng)投產(chǎn)前至少20個工作日、變更前至少10個工作日向中國銀監(jiān)會或其派出機(jī)構(gòu)報告，包括但不限于：（一）總體說明：投產(chǎn)及變更目的、內(nèi)容、計劃起止時間、業(yè)務(wù)影響范圍、聯(lián)系人及聯(lián)系方式等。（二）重要信息系統(tǒng)基本信息，包括：系統(tǒng)名稱、業(yè)務(wù)功能，操作系統(tǒng)、數(shù)據(jù)庫、中間件情況，應(yīng)用架構(gòu)、技術(shù)架構(gòu)、數(shù)據(jù)架構(gòu)，生產(chǎn)主機(jī)備份方案、數(shù)據(jù)備份方案，運行管理等相關(guān)職能部門，是否納入災(zāi)難恢復(fù)計劃等。（三）重要信息系統(tǒng)安全策略和措施，包括對賬戶、交易和客戶敏感信息的安全控制措施等。（四）涉及基礎(chǔ)設(shè)施的，需提供基礎(chǔ)設(shè)施基本信息，包括機(jī)房和網(wǎng)絡(luò)方案。機(jī)房方案包括等級標(biāo)準(zhǔn)、地址、供配電系統(tǒng)、消防、空調(diào)、弱電系統(tǒng)、機(jī)房加固、機(jī)房空間規(guī)劃，以及機(jī)房驗收報告等；網(wǎng)絡(luò)方案包括網(wǎng)絡(luò)架構(gòu)分區(qū)、核心網(wǎng)絡(luò)備份情況，以及區(qū)域間、外聯(lián)網(wǎng)、互聯(lián)網(wǎng)邊界安全措施與網(wǎng)絡(luò)監(jiān)控措施等。（五）采取外包方式的，需提交外包服務(wù)機(jī)構(gòu)情況、外包服務(wù)內(nèi)容、外包風(fēng)險評估報告等。（六）投產(chǎn)及變更方案，包括投產(chǎn)及變更的組織結(jié)構(gòu)與實施計劃、操作步驟等。（七）風(fēng)險評估報告，應(yīng)包括業(yè)務(wù)影響分析，技術(shù)風(fēng)險分析與評估，控制措施的有效性，以及剩余風(fēng)險等。（八）應(yīng)急預(yù)案，包括應(yīng)急處置組織結(jié)構(gòu)，應(yīng)急場景，應(yīng)急處置流程、步驟，應(yīng)急聯(lián)系方式與報告路線等，實施演練的應(yīng)提交演練總結(jié)報告。第三十二條 銀行業(yè)金融機(jī)構(gòu)應(yīng)在重要信系統(tǒng)投產(chǎn)及變更實施后1個月內(nèi)向中國銀監(jiān)會或其派出機(jī)構(gòu)提交總結(jié)報告材料，內(nèi)容包括但不限于：投產(chǎn)及變更方案執(zhí)行情況、效果，問題發(fā)現(xiàn)和處理情況，后續(xù)改進(jìn)措施等。如投產(chǎn)及變更失敗，應(yīng)詳細(xì)說明失敗原因。第三十三條 銀行業(yè)金融機(jī)構(gòu)應(yīng)按照屬地監(jiān)管原則提交報告材料，報送路線如下：（一）銀行業(yè)金融機(jī)構(gòu)法人組織實施投產(chǎn)及變更的，由該法人機(jī)構(gòu)統(tǒng)一向中國銀監(jiān)會或其派出機(jī)構(gòu)提交報告材料。（二）銀行業(yè)金融機(jī)構(gòu)分行組織實施投產(chǎn)及變更的，由分行向所在地中國銀監(jiān)會派出機(jī)構(gòu)提交報告材料。第三十四條 重要信息系統(tǒng)投產(chǎn)及變更如失敗需要重新安排的，銀行業(yè)金融機(jī)構(gòu)應(yīng)再次向中國銀監(jiān)會或其派出機(jī)構(gòu)報告。第三十五條 銀行業(yè)金融機(jī)構(gòu)數(shù)據(jù)中心機(jī)房設(shè)立、場所變更，應(yīng)按照中國銀監(jiān)會有關(guān)數(shù)據(jù)中心管理規(guī)范報告。第六章 監(jiān)督管理第三十六條 針對銀行業(yè)金融機(jī)構(gòu)重要信息系統(tǒng)投產(chǎn)及變更風(fēng)險，中國銀監(jiān)會及其派出機(jī)構(gòu)可以采取風(fēng)險提示、約見談話、監(jiān)管質(zhì)詢等措施。第三十七條 中國銀監(jiān)會及其派出機(jī)構(gòu)可依法對銀行業(yè)金融的重要信息系統(tǒng)投產(chǎn)及變更實施現(xiàn)場檢查。第三十八條 銀行業(yè)金融機(jī)構(gòu)違反本辦法有關(guān)規(guī)定的，中國銀監(jiān)會及其派出機(jī)構(gòu)將依法追究相關(guān)責(zé)任。第七章 附則第三十九條 本辦法由中國銀監(jiān)會負(fù)責(zé)解釋和修訂。第四十條 本辦法自公布之日起執(zhí)行。第四篇：《銀行業(yè)金融機(jī)構(gòu)重要信息系統(tǒng)投產(chǎn)及變更管理辦法》(銀監(jiān)辦發(fā)[2009]437號)20091229中國銀監(jiān)會辦公廳關(guān)于印發(fā)《銀行業(yè)金融機(jī)構(gòu)重要信息系統(tǒng)投產(chǎn)及變更管理辦法》的通知（銀監(jiān)辦發(fā)[2009]437號）各銀監(jiān)局，各政策性銀行、國有商業(yè)銀行、股份制商業(yè)銀行，郵政儲蓄銀行，各省級農(nóng)村信用聯(lián)社：為加強(qiáng)銀行業(yè)金融機(jī)構(gòu)重要信息系統(tǒng)投產(chǎn)及變更風(fēng)險管理，保障銀行業(yè)金融機(jī)構(gòu)重要信息系統(tǒng)安全穩(wěn)定運行，現(xiàn)將《銀行業(yè)金融機(jī)構(gòu)重要信息系統(tǒng)投產(chǎn)及變更管理辦法》印發(fā)給你們，請遵照執(zhí)行。請各銀監(jiān)局將本通知轉(zhuǎn)發(fā)至轄內(nèi)各銀行業(yè)金融機(jī)構(gòu)。中國銀行業(yè)監(jiān)督管理委員會 二00九年十二月二十九日銀行業(yè)金融機(jī)構(gòu)重要信息系統(tǒng)投產(chǎn)及變更管理辦法第一章 總則第一條 為加強(qiáng)銀行業(yè)金融機(jī)構(gòu)重要信息系統(tǒng)投產(chǎn)及變更風(fēng)險管理，根據(jù)《中華人民共和國銀行第二條 在中華人民共和國境內(nèi)設(shè)立的政策性銀行、國有商業(yè)銀行、股份制商業(yè)銀行、郵政儲蓄業(yè)監(jiān)督管理法》、《中華人民共和國商業(yè)銀行法》制定本辦法。銀行、城市商業(yè)銀行、農(nóng)村商業(yè)銀行、農(nóng)村合作銀行、農(nóng)村信用社、城市信用社、外商獨資銀行、中外合資銀行適用本辦法。中國銀行業(yè)監(jiān)督管理委員會（以下簡稱中國銀監(jiān)會）監(jiān)管的其他金融機(jī)構(gòu)參照本辦法執(zhí)行。第三條 本辦法所稱的重要信息系統(tǒng)是指支撐重要業(yè)務(wù)，其信息安全和服務(wù)質(zhì)量關(guān)系公民、法人和其他組織的權(quán)益，或關(guān)系社會秩序、公共利益乃至國家安全的信息系統(tǒng)。包括面向客戶、涉及賬務(wù)處理且實時性要求較高的業(yè)務(wù)處理類、渠道類和涉及客戶風(fēng)險管理等業(yè)務(wù)的管理類信息系統(tǒng)，以及支撐系統(tǒng)運行的機(jī)房和網(wǎng)絡(luò)等基礎(chǔ)設(shè)施。第四條 本辦法所稱的重要信息系統(tǒng)投產(chǎn)及變更主要指：（一）重要信息系統(tǒng)投產(chǎn)。（二）支撐重要信息系統(tǒng)運行的機(jī)房和網(wǎng)絡(luò)基礎(chǔ)設(shè)施投產(chǎn)。（三）影響全轄或一個（含）以上分行系統(tǒng)服務(wù)、重要業(yè)務(wù)中斷時間3小時（含）以上的重要信息系統(tǒng)以及支持其運行的基礎(chǔ)設(shè)施變更，包括機(jī)房場地遷移、網(wǎng)絡(luò)及核心業(yè)務(wù)系統(tǒng)應(yīng)用架構(gòu)變更、核心業(yè)務(wù)系統(tǒng)版本變更等。（四）其他對銀行重要業(yè)務(wù)運營及重要信息系統(tǒng)的可用性、完整性、安全性具有較大潛在影響的投產(chǎn)及變更。第二章 組織管理第五條 銀行業(yè)金融機(jī)構(gòu)應(yīng)健全I(xiàn)T治理結(jié)構(gòu)，落實重要信息系統(tǒng)投產(chǎn)及變更管理責(zé)任。第六條 銀行業(yè)金融機(jī)構(gòu)高級管理層應(yīng)統(tǒng)籌管理重要信息系統(tǒng)建設(shè)，聽取重大項目投產(chǎn)或變更的第七條 銀行業(yè)金融機(jī)構(gòu)信息科技部門應(yīng)建立重要信息系統(tǒng)投產(chǎn)及變更管理機(jī)制、制度與流程，風(fēng)險評估匯報，對風(fēng)險控制過程進(jìn)行監(jiān)督。承擔(dān)技術(shù)管理工作，協(xié)調(diào)業(yè)務(wù)、管理部門開展重要信息系統(tǒng)投產(chǎn)及變更工作，保障信息科技資源投入。第八條 銀行業(yè)金融機(jī)構(gòu)業(yè)務(wù)、管理部門應(yīng)配合信息科技部門開展投產(chǎn)及變更工作，開展業(yè)務(wù)影響分析，制定業(yè)務(wù)管理辦法，組織用戶測試，保證業(yè)務(wù)資源投入。第九條 銀行業(yè)金融機(jī)構(gòu)內(nèi)部審計部門應(yīng)開展重要信息系統(tǒng)投產(chǎn)及變更審計工作，針對問題發(fā)現(xiàn)提出整改意見。第三章 風(fēng)險評估第十條 銀行業(yè)金融機(jī)構(gòu)應(yīng)充分識別、分析、評估重要信息系統(tǒng)投產(chǎn)及變更風(fēng)險，包括系統(tǒng)功能缺陷、客戶信息泄露、業(yè)務(wù)中斷、交易緩慢或其他因素可能造成的操作風(fēng)險、法律風(fēng)險和聲譽(yù)風(fēng)險，并形成風(fēng)險評估報告。第十一條 銀行業(yè)金融機(jī)構(gòu)在采取有效信息安全控制措施的前提下，可委托外部專家或具備相應(yīng)第十二條 銀行業(yè)金融機(jī)構(gòu)董事會及高級管理層應(yīng)審核重大項目的風(fēng)險評估報告。第十三條 銀行業(yè)金融機(jī)構(gòu)應(yīng)針對風(fēng)險評估中發(fā)現(xiàn)的薄弱環(huán)節(jié)制定整改方案，明確整改時間。不資質(zhì)的外部專業(yè)機(jī)構(gòu)進(jìn)行重要信息系統(tǒng)投產(chǎn)及變更的風(fēng)險評估工作。具備整改條件的應(yīng)采取風(fēng)險緩釋措施。第四章 投產(chǎn)及變更控制第十四條 銀行業(yè)金融機(jī)構(gòu)應(yīng)統(tǒng)一組織協(xié)調(diào)重要信息系統(tǒng)投產(chǎn)及變更工作，制定投產(chǎn)及變更第十五條 銀行業(yè)金融機(jī)構(gòu)應(yīng)對重要信息系統(tǒng)投產(chǎn)及變更過程進(jìn)行安全審查，采取風(fēng)險控制措施，第十六條 銀行金融機(jī)構(gòu)應(yīng)建立重要信息系統(tǒng)投產(chǎn)及變更內(nèi)容評審和審批、授權(quán)機(jī)制。第十七條 銀行業(yè)金融機(jī)構(gòu)應(yīng)按照對業(yè)務(wù)影響最小原則，采取與風(fēng)險程度相適應(yīng)的重要信息系統(tǒng)第十八條 銀行業(yè)金融機(jī)構(gòu)應(yīng)合理避開業(yè)務(wù)高峰期和敏感時段安排重要信息系統(tǒng)上線，應(yīng)提前將第十九條 銀行業(yè)金融機(jī)構(gòu)應(yīng)建立充分、完整的測試體系，測試結(jié)果應(yīng)經(jīng)過信息科技部門和相關(guān)規(guī)則，編制實施計劃和方案，確定實施策略和步驟，明確崗位職責(zé)，確保關(guān)鍵崗位職責(zé)分離。有效控制重要信息系統(tǒng)投產(chǎn)及變更風(fēng)險。投產(chǎn)及變更策略。重要信息系統(tǒng)投產(chǎn)及變更可能對服務(wù)的影響告知客戶。業(yè)務(wù)部門確認(rèn)，并形成測試和驗收報告，確保系統(tǒng)上線后的正常穩(wěn)定運行以及系統(tǒng)功能與業(yè)務(wù)目標(biāo)的一致性。第二十條 銀行業(yè)金融機(jī)構(gòu)應(yīng)建立與生產(chǎn)環(huán)境相隔離的測試環(huán)境