【文章內容簡介】 銀行業(yè)金融機構實施對信息科技外包服務提供商的準入及“黑名單”管理。對于存在重大風險的外包活動，銀行業(yè)金融機構應立即評估外包的適當性，對擬進入“黑名單”的信息科技外包服務提供商進行風險預警提示，要求其進行整改并設定期限。逾期未整改的，將進入“黑名單”。第九章 附則第九十條本指引由中國銀監(jiān)會負責解釋、修訂。第九十一條本指引自發(fā)布之日起施行。附錄 《銀行業(yè)金融機構信息科技外包風險監(jiān)管指引》信息科技外包服務監(jiān)管報告材料目錄一、信息科技外包監(jiān)管報告材料（一）外包服務基本情況，包括：；：研發(fā)咨詢類、系統(tǒng)運行維護類、業(yè)務外包中的信息科技活動等； ；：駐場外包、非駐場外包；：渠道管理類、客戶管理類、產品管理類、財務管理類、決策支持類、共享支持類等； 。（二）服務提供商基本情況，包括：、國別； ； ； ； ； ； ；（三）中國銀監(jiān)會規(guī)定的其他材料。二、年度信息科技外包情況報送材料（一）銀行業(yè)金融機構年度外包風險評估報告；（二）銀行業(yè)重點外包服務機構風險評估報告；（三）本年度內正在執(zhí)行或終止的重要信息科技外包服務情況，包括：；； ；，還應當提供外包服務評價。（四）中國銀監(jiān)會規(guī)定的其他材料。第二篇：銀行業(yè)金融機構信息科技外包風險監(jiān)管指引中國銀行業(yè)監(jiān)督管理委員會銀監(jiān)發(fā)[2013]5號中國銀監(jiān)會關于印發(fā)銀行業(yè)金融機構信息科技外包風險監(jiān)管指引的通知各銀監(jiān)局，各政策性銀行、國有商業(yè)銀行、股份制商業(yè)銀行、金融資產管理公司，郵儲銀行，各省級農村信用聯(lián)社，銀監(jiān)會直接監(jiān)管的信托公司、企業(yè)集團財務公司、金融租賃公司：現(xiàn)將《銀行業(yè)金融機構信息科技外包風險監(jiān)管指引》印發(fā)給你們，請遵照執(zhí)行。2013年2月16日銀行業(yè)金融機構信息科技外包風險監(jiān)管指引第一章 總則第一條為規(guī)范銀行業(yè)金融機構的信息科技外包活動，降低信息科技外包風險，根據《中華人民共和國銀行業(yè)監(jiān)督管理法》、《中華人民共和國商業(yè)銀行法》等法律法規(guī)，制定本指引。第二條在中華人民共和國境內設立的政策性銀行、商業(yè)銀行、農村合作銀行、?。ㄗ灾螀^(qū)）農村信用社聯(lián)合社適用本指引。銀監(jiān)會監(jiān)管的其他金融機構參照本指引執(zhí)行。第三條本指引所稱信息科技外包是指銀行業(yè)金融機構將原本由自身負責處理的信息科技活動委托給服務提供商進行處理的行為，包含項目外包、人力資源外包等形式。原則上包括以下類型：（一）研發(fā)咨詢類外包：科技管理及科技治理等咨詢設計外包，規(guī)劃、需求、系統(tǒng)開發(fā)、測試外包；（二）系統(tǒng)運行維護類外包：包括數據中心（災備中心）、機房配套設施、網絡、系統(tǒng)的運維外包，自助設備、POS機等遠程終端及辦公設備的運維外包；（三）業(yè)務外包中的信息科技活動：市場拓展、業(yè)務操作、企業(yè)管理、資產處臵等外包中的系統(tǒng)開發(fā)、運行維護和數據處理活動。第四條本指引所稱關聯(lián)外包是指服務提供商為銀行業(yè)金融機構的母公司或其所屬集團子公司、關聯(lián)公司或附屬機構提供信息科技外包。第五條信息科技外包可能產生如下風險，并導致銀行業(yè)金融機構的戰(zhàn)略、聲譽、合規(guī)風險：（一）科技能力喪失：銀行業(yè)金融機構過度依賴外部資源導致失去科技控制及創(chuàng)新能力，影響業(yè)務創(chuàng)新與發(fā)展；（二）業(yè)務中斷：支持業(yè)務運營的外包服務無法持續(xù)提供導致業(yè)務中斷；（三）信息泄露：包含客戶信息在內的銀行業(yè)金融機構非公開數據被服務提供商非法獲得或泄露；（四）服務水平下降：由于外包服務質量問題或內外部協(xié)作效率低下，使得銀行業(yè)金融機構信息科技服務水平下降。第六條本指引所稱機構集中度風險是指銀行業(yè)金融機構將信息科技外包服務集中交由少量服務提供商承接而產生的風險，該風險可能造成集中性的服務中斷、質量下降、安全事件等。第七條本指引所稱同業(yè)托管機構是指作為外包服務提供商為其他同行業(yè)金融機構提供信息科技外包服務的銀行業(yè)金融機構。第八條銀行業(yè)金融機構應當將信息科技外包管理納入全面風險管理體系，建立與本機構信息科技戰(zhàn)略目標相適應的外包管理體系，控制或降低由于外包而引發(fā)的風險。第九條銀行業(yè)金融機構應當建立信息科技外包管理組織架構，制定外包管理戰(zhàn)略，定期進行外包風險評估，通過服務提供商準入、評價、退出等手段建立及維護符合自身戰(zhàn)略目標的供應商關系管理策略。第十條銀行業(yè)金融機構在實施信息科技外包時應當堅持以下原則：（一）以不妨礙核心能力建設、積極掌握關鍵技術為導向；（二）保持外包風險、成本和效益的平衡；（三）強調外包風險的事前控制，保持管控力度；（四）根據外包管理及技術發(fā)展趨勢，持續(xù)改進外包策略和措施。第十一條銀行業(yè)金融機構在實施信息科技外包時，不得將信息科技管理責任外包。第十二條對于不涉及銀行客戶及內部信息轉移的信息科技產品采購、維保，及通訊線路租用、支付或清算系統(tǒng)接入等信息科技公共基礎設施服務，銀行業(yè)金融機構應當充分評估其信息科技風險，按照本指引第五章要求進行管理。第二章 外包管理組織架構第十三條銀行業(yè)金融機構董事會及高級管理層應當嚴格落實信息科技外包風險管理的相關職責, 明確信息科技外包風險管理的主管部門，制定并審批信息科技外包戰(zhàn)略，審議信息科技外包管理流程及制度，督促并監(jiān)控信息科技外包風險管理效果。第十四條信息科技外包風險主管部門的主要職責包括：（一）對外包風險進行識別、評估與風險提示；（二）監(jiān)督、評價外包管理工作，并督促外包風險管理的持續(xù)改善；（三）向高級管理層定期匯報信息科技外包活動相關風險管理情況；（四）董事會或高級管理層確定的其他信息科技外包風險管理職責。第十五條銀行業(yè)金融機構應當在信息科技管理部門或信息科技外包活動執(zhí)行部門內建立信息科技外包管理執(zhí)行團隊，并配備足夠人員履行以下職責：（一）實施信息科技外包戰(zhàn)略；（二）制定并執(zhí)行信息科技外包管理制度與流程；（三）執(zhí)行供應商準入、評價、退出管理，建立并維護供應商關系管理策略；（四）制定保障外包服務持續(xù)性的應急管理方案，并組織實施定期演練；（五）對外包過程中的各項管理活動進行監(jiān)控及分析，定期向信息科技及外包風險管理主管部門報告外包活動情況。第三章 信息科技外包戰(zhàn)略及風險管理第一節(jié) 信息科技外包戰(zhàn)略第十六條銀行業(yè)金融機構應當以提升信息科技隊伍能力，提高科技管理及創(chuàng)新水平，掌握信息科技核心技能為目標，基于信息科技戰(zhàn)略、外包市場環(huán)境、自身風險控制能力和風險偏好制定信息科技外包戰(zhàn)略，包括：不能外包的職能、資源能力建設方案、供應商關系管理策略和外包分級管理策略。第十七條銀行業(yè)金融機構應當根據自身信息科技戰(zhàn)略明確不能外包的職能。涉及戰(zhàn)略管理、風險管理、內部審計及其他有關信息科技核心競爭力的職能不得外包。第十八條銀行業(yè)金融機構應當根據外包戰(zhàn)略制定資源、能力建設方案，通過補充人員、提升技能、知識轉移等方式，有針對性地獲取或提升管理及技術能力，降低對服務提供商的依賴。第十九條銀行業(yè)金融機構應當建立與自身規(guī)模、市場地位相適應的供應商關系管理策略。通過準入和退出機制合理管控各類高風險服務提供商的數量，實現(xiàn)以下目標：防范行業(yè)壟斷和機構集中度風險，通過引入適當的競爭在降低采購成本的同時提高服務質量，合理管控服務提供商的數量從而降低風險及管理成本等。第二十條銀行業(yè)金融機構可以按照外包服務性質和重要性程度對服務提供商進行分級管理，對不同級別的服務提供商采取差異化的管控措施，在有效管理重要風險的前提下降低管理成本。第二十一條銀行業(yè)金融機構要同母公司或集團公司協(xié)同做好外包服務及服務提供商的管理工作，但應當保持關聯(lián)外包有關決策的獨立性，避免因關聯(lián)關系而降低外包活動的風險控制水平。第二節(jié) 信息科技外包風險管理第二十二條銀行業(yè)金融機構信息科技外包風險管理部門應當至少每年開展一次全面的外包風險管理評估，保持評估的獨立性，并向高級管理層提交評估報告。評估內容包括：信息科技外包戰(zhàn)略執(zhí)行情況、外包信息安全、機構集中度、服務連續(xù)性、服務質量、政策及市場變化對外包服務的影響分析等。第二十三條銀行業(yè)金融機構應當對重要的外包服務提供商進行定期的風險評估，保持評估的獨立性。至少在三年內覆蓋所有重要的服務提供商。評估內容包括：服務提供商合規(guī)情況、服務的執(zhí)行效果等，評估結果應當作為服務提供商準入及退出的重要依據。第二十四條銀行業(yè)金融機構內部審計部門應當定期開展信息科技外包風險管理審計工作，至少每三年對重要的外包服務活動進行一次全面審計。發(fā)生外包風險事件后應當及時開展專項審計。第四章 信息科技外包管理第一節(jié) 外包風險評估及準入第二十五條外包項目立項前，銀行業(yè)金融機構應當審慎檢查項目與信息科技外包戰(zhàn)略的一致性，根據項目內容、范圍、性質對其進行風險識別和評估，制定相應的風險處臵措施，不因外包活動的引入而增加整體剩余風險。重大外包項目應向董事會、高管層報告。第二十六條銀行業(yè)金融機構應當根據供應商關系管理策略，結合風險評估結果及服務提供商的準入標準，對備選服務提供商進行初步篩選，防范引入高機構集中度風險特點的服務提供商、或引入增加整體風險的服務提供商。第二十七條對于外包服務提供商為同業(yè)托管機構的情況，銀行業(yè)金融機構可參照本節(jié)內容對其進行管理。第二節(jié) 服務提供商盡職調查第二十八條對重要的服務提供商，銀行業(yè)金融機構在與其簽訂合同前應當深入開展盡職調查，必要時可聘請第三方機構協(xié)助調查。第二十九條銀行業(yè)金融機構在盡職調查時應當關注服務提供商的技術和行業(yè)經驗，包括但不限于：服務能力和支持技術、服務經驗、服務人員技能、市場評價、監(jiān)管評價等。第三十條銀行業(yè)金融機構在盡職調查時應當關注服務提供商的內部控制和管理能力，包括但不限于：內部控制機制和管理流程的完善程度、內部控制技術和工具等。第三十一條銀行業(yè)金融機構在盡職調查時應當關注服務提供商的持續(xù)經營狀況，包括但不限于：從業(yè)時間、市場地位及發(fā)展趨勢、資金的安全性、近期盈利情況等。第三十二條對于關聯(lián)外包，銀行業(yè)金融機構不得因關聯(lián)關系而降低對服務提供商的要求，應當在盡職調查階段詳細分析服務提供商技術、內控和管理水平，確認其有足夠能力實施外包服務、處理突發(fā)事件等。第三十三條對于外包服務提供商為同業(yè)托管機構的情況，銀行業(yè)金融機構可參照本節(jié)內容對其進行管理。第三節(jié) 外包服務合同及要求第三十四條銀行業(yè)金融機構在實施外包服務項目前，應當與服務提供商簽訂服務合同。合同應當根據外包服務需求、風險評估及盡職調查結果確定詳細程度和重點。第三十五條銀行業(yè)金融機構在合同或協(xié)議中應當明確以下內容，包括但不限于：（一）服務范圍、服務內容、工作時限及安排、責任分配、交付物要求以及后續(xù)合作中的相關限定條件；（二）合規(guī)與內控要求，對法律法規(guī)及銀行業(yè)金融機構內部管理制度的遵從要求、監(jiān)管政策的通報貫徹機制、服務提供商的內控措施；（三）服務連續(xù)性要求，服務提供商的服務連續(xù)性管理目標應當滿足銀行業(yè)金融機構業(yè)務連續(xù)性目標要求；（四）銀行業(yè)金融機構監(jiān)控和檢查的權利、頻率，服務提供商配合其內、外部審計機構檢查，及配合銀行業(yè)監(jiān)管機構檢查的責任；（五）政策或環(huán)境變化因素等在內的合同變更或終止的觸發(fā)條件，外包服務提供商在過渡期間應該履行的主要職責及合同變更或終止的過渡安排，包括信息、資料和設施的交接處臵等過渡期間相關服務的安排；（六）外包服務過程中產生、加工、交互的信息和知識產權的歸屬權以及允許服務提供商使用的內容及范圍，對服務提供商使用合法軟、硬件產品的要求；（七）服務要求或服務水平條款，至少應當包括如下內容：外包服務的關鍵要素、服務時效和可用性、數據的機密性和完整性要求、變更的控制、安全標準的遵守情況、技術支持水平等；（八）爭端解決機制、違約及賠償條款，至少包括如下內容：服務質量違約、安全違約、知識產權違約等，及在各種違約情況下的賠償以及外包爭端的解決機制；（九）報告條款，至少包括常規(guī)報告內容和報告頻度、突發(fā)事件時的報告路線、報告方式及時限要求。第三十六條 銀行業(yè)金融機構應當在合同或協(xié)議中明確服務提供商在安全和保密方面的責任，以及針對安全及保密要求需采取的具體措施。包括但不限于：（一）禁止服務提供商在合同允許范圍外使用或者披露銀行業(yè)金融機構的信息，以防止信息被非授權使用；（二）在合同或協(xié)議中約定服務提供商對銀行客戶信息安全和銀行客戶權利的保護條款、事故處理方式及違約賠償條款；（三）在合同或協(xié)議中約定服務提供商不得以所服務的銀行業(yè)金融機構名義開展活動；（四）服務提供商接觸銀行業(yè)金融機構信息時，需滿足安全和保密相關條款的要求；（五）在發(fā)生銀監(jiān)會規(guī)定的信息科技突發(fā)事件，或發(fā)生可能引發(fā)系統(tǒng)性、區(qū)域性銀行業(yè)信息科技風險類突發(fā)事件時，服務提供商應及時向銀行業(yè)金融機構報告，包括事件的影響以及處臵和糾正措施。第三十七條銀行業(yè)金融機構應當在合同或協(xié)議中明確要求服務提供商不得將外包服務轉包和變相轉包。在涉及外包服務分包時應當要求：（一）不得將外包服務的主要業(yè)務分包；（二）主服務提供商對服務水平負總責，確保分包服務提供商能夠嚴格遵守外包合同或協(xié)議；（三）主服務提供商對分包商進行監(jiān)控，并對分包商的變更履行通知或報告審批義務。第四節(jié) 外包服務安全管理第三十八條銀行業(yè)金融機構應當制定和落實信息安全管控措施，防范因外包活動引起的信息泄露、信息篡改、信息不可用、非法入侵、物理環(huán)境或設施遭受破壞等風險。具體措施包括：（一）對外包人員進行信息安全培訓，提高風險管理意識，確保信息安全管控措施在外包服務過程中有效落實；（二）明確外包活動需要訪問或使用的信息資產，包括場地、辦公設施、計算機、服務器、軟件、數據、信息、物理訪問控制設備、賬號、網絡寬帶、網絡端口等，按“必需知道”和“最小授權”原則進行訪問授權；（三）對重要或核心的信息系統(tǒng)開發(fā)交付物進行源代碼檢查和安全掃描；（四）定期對服務提供商進行安全檢查，獲取服務提供商自評估或第三方評估報告。第三十九條銀行業(yè)金融機構對關聯(lián)外包服務提供商定期進行的安全檢查，不得以服務提供商的自評估替代，不得因關聯(lián)關系而影響檢查的獨立性、客觀性及公正性。第四十條銀行業(yè)金融機構應當關注外包服務引入的新技術或新應