制度體系之-信息科技風(fēng)險(xiǎn)管理辦法-資料下載頁(yè)
2024-09-07 03:39本頁(yè)面
【導(dǎo)讀】和有關(guān)法律法規(guī)，制定本管理辦法。的管理組織架構(gòu)，制訂完善的管理制度和流程。產(chǎn)生的操作、法律和聲譽(yù)等風(fēng)險(xiǎn)。第四條信息科技風(fēng)險(xiǎn)管理的目標(biāo)是通過(guò)建立有效的機(jī)制，安全、持續(xù)、穩(wěn)健運(yùn)行，推動(dòng)業(yè)務(wù)創(chuàng)新，提高信息技術(shù)使用水平，增強(qiáng)核心競(jìng)爭(zhēng)力和可持續(xù)發(fā)展能力。和重大策略相一致。保相關(guān)風(fēng)險(xiǎn)能夠被識(shí)別、計(jì)量、監(jiān)測(cè)和控制。信息科技預(yù)算和實(shí)際支出、信息科技的整體狀況。審計(jì)，對(duì)審計(jì)報(bào)告進(jìn)行確認(rèn)并落實(shí)整改。信息等的核心系統(tǒng)在中國(guó)境內(nèi)獨(dú)立運(yùn)行，并保持最高的管理權(quán)限，符合銀監(jiān)會(huì)監(jiān)管和實(shí)施現(xiàn)場(chǎng)檢查的要求，防范跨境風(fēng)險(xiǎn)。信息科技事故或突發(fā)事件，按相關(guān)預(yù)案快速響應(yīng)。查工作，并按照監(jiān)管意見進(jìn)行整改。安全管理、災(zāi)難恢復(fù)計(jì)劃、信息科技外包和信息系統(tǒng)退出等職責(zé)。工簽訂相關(guān)協(xié)議。應(yīng)急外，其他維護(hù)應(yīng)在非工作時(shí)間進(jìn)行。叉，要部門協(xié)調(diào)等監(jiān)控信息。據(jù)中心應(yīng)實(shí)行24小時(shí)值班。
【正文】 ) 分析外包是否適合我行的組織結(jié) 構(gòu)和報(bào)告路線、業(yè)務(wù)戰(zhàn)略、總體風(fēng)險(xiǎn)控制，是否滿足我行履行對(duì)外包服務(wù)商的監(jiān)督義務(wù)。 (二 ) 考慮外包協(xié)議是否允許我行監(jiān)測(cè)和控制與外包相關(guān)的操作風(fēng)險(xiǎn)。 (三 ) 充分審查、評(píng)估外包服務(wù)商的財(cái)務(wù)穩(wěn)定性和專業(yè)經(jīng)驗(yàn)，對(duì)外包服務(wù)商進(jìn)行風(fēng)險(xiǎn)評(píng)估，考查其設(shè)施和能力是否足以承擔(dān)相應(yīng)的責(zé)任。 (四 ) 考慮外包協(xié)議變更前后實(shí)施的平穩(wěn)過(guò)渡（包括終止合同可能發(fā)生的情況）。 (五 ) 關(guān)注可能存在的集中風(fēng)險(xiǎn)，如多家我行共用同一外包服務(wù)商帶來(lái)的潛在業(yè)務(wù)連續(xù)性風(fēng)險(xiǎn)。 第五十二條 在與外包服務(wù)商合同談判過(guò)程中，應(yīng)考慮的因素包括但不限于： (一 ) 對(duì)外包服務(wù)商的報(bào)告要求和談判必要條件。 (二 ) 銀行業(yè)監(jiān)管機(jī) 構(gòu)和內(nèi)部審計(jì)、外部審計(jì)能執(zhí)行足夠的監(jiān)督。 (三 ) 通過(guò)界定信息所有權(quán)、簽署保密協(xié)議和采取技術(shù)防護(hù)措施保護(hù)客戶信息和其他信息。 (四 ) 擔(dān)保和損失賠償是否充足。 (五 ) 外包服務(wù)商遵守我行有關(guān)信息科技風(fēng)險(xiǎn)制度和流程的意愿及相關(guān)措施。 (六 ) 外包服務(wù)商提供的業(yè)務(wù)連續(xù)性保障水平，以及提供相關(guān)專屬資源的承諾。 (七 ) 第三方供應(yīng)商出現(xiàn)問(wèn)題時(shí)，保證軟件持續(xù)可用的相關(guān)措施。 (八 ) 變更外包協(xié)議的流程，以及我行或外包服務(wù)商選擇變更或終止外包協(xié)議的條件，例如： 我行或外包服務(wù)商的所有權(quán)或控制權(quán)發(fā)生變化。 我行或外包服務(wù)商的業(yè)務(wù)經(jīng)營(yíng)發(fā)生重大變化。 外包服務(wù)商提供的服務(wù) 不充分，造成我行不能履行監(jiān)督義務(wù)。 第五十三條 在實(shí)施雙方關(guān)系管理，以及起草服務(wù)水平協(xié)議時(shí)，應(yīng)考慮的因素包括但不限于： (一 ) 提出定性和定量的績(jī)效指標(biāo)，評(píng)估外包服務(wù)商為我行及其相關(guān)客戶提供服務(wù)的充分性。 (二 ) 通過(guò)服務(wù)水平報(bào)告、定期自我評(píng)估、內(nèi)部或外部獨(dú)立審計(jì)進(jìn)行績(jī)效考核。 (三 ) 針對(duì)績(jī)效不達(dá)標(biāo)的情況調(diào)整流程，采取整改措施。 第五十四條 加強(qiáng)信息科技相關(guān)外包管理工作，確保我行的客戶資料等敏感信息的安全，包括但不限于采取以下措施： (一 ) 實(shí)現(xiàn)本銀行客戶資料與外包服務(wù)商其他客戶資料的有效隔離。 (二 ) 按照“必需知道”和“最小授權(quán)”原則對(duì)外包服務(wù)商相關(guān)人員授權(quán)。 (三 ) 要 求外包服務(wù)商保證其相關(guān)人員遵守保密規(guī)定。 (四 ) 應(yīng)將涉及本銀行客戶資料的外包作為重要外包，并告知相關(guān)客戶。 (五 ) 嚴(yán)格控制外包服務(wù)商再次對(duì)外轉(zhuǎn)包，采取足夠措施確保我行相關(guān)信息的安全。 (六 ) 確保在中止外包協(xié)議時(shí)收回或銷毀外包服務(wù)商保存的所有客戶資料。 第五十五條 我行應(yīng)建立恰當(dāng)?shù)膽?yīng)急措施，應(yīng)對(duì)外包服務(wù)商在服務(wù)中可能出現(xiàn)的重大缺失。尤其需要考慮外包服務(wù)商的重大 資源損失，重大財(cái)務(wù)損失和重要人員的變動(dòng)，以及外包協(xié)議的意外終止。 第五十六條 我行所有信息科技外包合同應(yīng)由 科技部 、風(fēng)險(xiǎn)管理部、法律合規(guī)部和信息科技管理委員會(huì)審核通過(guò)。我行應(yīng)設(shè)立流程定期審閱和修訂 服務(wù)水平協(xié)議。 第二節(jié) 審計(jì) 第五十七條 我行內(nèi)部審計(jì)部門應(yīng)根據(jù)業(yè)務(wù)的性質(zhì)、規(guī)模和復(fù)雜程度，對(duì)相關(guān)系統(tǒng)及其控制的適當(dāng)性和有效性進(jìn)行監(jiān)測(cè)?；藢徲?jì)部門應(yīng)配備足夠的資源和具有專業(yè)能力的信息科技審計(jì)人員，獨(dú)立于我行的日?；顒?dòng)，具有適當(dāng)?shù)氖跈?quán)訪問(wèn)我行的記錄。 第五十八條 我行內(nèi)部信息科技審計(jì)的責(zé)任包括： (一 ) 制定、實(shí)施和調(diào)整審計(jì)計(jì)劃，檢查和評(píng)估我行信息科技系統(tǒng)和內(nèi)控機(jī)制的充分性和有效性。 (二 ) 按照第一款規(guī)定完成審計(jì)工作，在此基礎(chǔ)上提出整改意見。 (三 ) 檢查整改意見是否得到落實(shí)。 (四 ) 執(zhí)行信息科技專項(xiàng)審計(jì)。信息科技專項(xiàng)審計(jì)，是指對(duì)信息科技安全事故進(jìn)行的調(diào)查、分析和評(píng) 估，或?qū)徲?jì)部門根據(jù)風(fēng)險(xiǎn)評(píng)估結(jié)果對(duì)認(rèn)為必要的特殊事項(xiàng)進(jìn)行的審計(jì)。 第五十九條 我行應(yīng)根據(jù)業(yè)務(wù)性質(zhì)、規(guī)模和復(fù)雜程度，信息 科技應(yīng)用情況，以及信息科技風(fēng)險(xiǎn)評(píng)估結(jié)果，決定信息科技內(nèi)部審計(jì)范圍和頻率。但至少應(yīng)每三年進(jìn)行一次全面審計(jì)。 第六十條 我行在進(jìn)行大規(guī)模系統(tǒng)開發(fā)時(shí)，應(yīng)要求信息科技風(fēng)險(xiǎn)管理部門和內(nèi)部審計(jì)部門參與，保證系統(tǒng)開發(fā)符合本銀行信息科技風(fēng)險(xiǎn)管理標(biāo)準(zhǔn)。 第六十一條 我行可以在符合法律、法規(guī)和監(jiān)管要求的情況下，委托具備相應(yīng)資質(zhì)的外部審計(jì)機(jī)構(gòu)進(jìn)行信息科技外部審計(jì)。 第六十二條 在委托審計(jì)過(guò)程中，我行應(yīng)確保外部審計(jì)機(jī)構(gòu)能夠?qū)Ρ俱y行的硬件、軟件、文檔和數(shù)據(jù)進(jìn)行檢查 ，以發(fā)現(xiàn)信息科技存在的風(fēng)險(xiǎn)，國(guó)家法律、法規(guī)及監(jiān)管部門規(guī)章、規(guī)范性文件規(guī)定的重要商業(yè)、技術(shù)保密信息除外。 第六十三條 我行在實(shí)施外部審計(jì)前應(yīng)與外部審計(jì)機(jī)構(gòu)進(jìn)行充分溝通，詳細(xì)確定審計(jì)范圍，不應(yīng)故意隱瞞事實(shí)或阻撓審計(jì)檢查。 第六十四條 銀監(jiān)會(huì)及其派出機(jī)構(gòu)必要時(shí)可指定具備相應(yīng)資質(zhì)的外部審計(jì)機(jī)構(gòu)對(duì)我行執(zhí)行信息科技審計(jì)或相關(guān)檢查。外部審計(jì)機(jī)構(gòu)根據(jù)銀監(jiān)會(huì)或其派出機(jī)構(gòu)的委托或授權(quán)對(duì)我行進(jìn)行審計(jì)時(shí)，應(yīng)出示委托授權(quán)書，并依照委托授權(quán)書上規(guī)定的范圍進(jìn)行審計(jì)。 第六十五條 外部審計(jì)機(jī)構(gòu)根據(jù)授權(quán)出具的審計(jì)報(bào)告，經(jīng)銀監(jiān)會(huì)及其派出機(jī)構(gòu)審閱批準(zhǔn)后具有與銀監(jiān)會(huì)及其派出機(jī)構(gòu)出具 的 檢查報(bào)告同等的效力，被審計(jì)的我行應(yīng)根據(jù)該審計(jì)報(bào)告提出整改計(jì)劃，并在規(guī)定的時(shí)間內(nèi)實(shí)施整改。 第六十六條 我行在委托外部審計(jì)機(jī)構(gòu)進(jìn)行外部審計(jì)時(shí)，應(yīng)與其簽訂保密協(xié)議，并督促其嚴(yán)格遵守法律法規(guī)，保守本銀行的商業(yè)秘密和信息科技風(fēng)險(xiǎn)信息，防止其擅自對(duì)本銀行提供的任何文件進(jìn)行修改、復(fù)制或帶離現(xiàn)場(chǎng)。 第九章 附則 第六十七條 本辦法由 營(yíng)口沿海銀 風(fēng)險(xiǎn)管理部負(fù)責(zé)解釋和修訂 。 第六十八條 本辦法自下發(fā)之日起實(shí)施。 附件： 無(wú)
公司管理相關(guān)推薦
鄂ICP備17016276號(hào)-1