商業(yè)銀行信息科技風險管理指引-資料下載頁
2025-04-17 08:10本頁面
【正文】 能發(fā)生的情況）。 （五） 關(guān)注可能存在的集中風險，如多家商業(yè)銀行共用同一外包服務(wù)商帶來的潛在業(yè)務(wù)連續(xù)性風險。 第五十八條 商業(yè)銀行在與外包服務(wù)商合同談判過程中，應(yīng)考慮的因素包括但不限于： （一） 對外包服務(wù)商的報告要求和談判必要條件。 ?。ǘ?銀行業(yè)監(jiān)管機構(gòu)和內(nèi)部審計、外部審計能執(zhí)行足夠的監(jiān)督。 ?。ㄈ?通過界定信息所有權(quán)、簽署保密協(xié)議和采取技術(shù)防護措施保護客戶信息和其他信息。 （四） 擔保和損失賠償是否充足。 ?。ㄎ澹?外包服務(wù)商遵守商業(yè)銀行有關(guān)信息科技風險制度和流程的意愿及相關(guān)措施。 ?。?外包服務(wù)商提供的業(yè)務(wù)連續(xù)性保障水平，以及提供相關(guān)專屬資源的承諾。 ?。ㄆ撸?第三方供應(yīng)商出現(xiàn)問題時，保證軟件持續(xù)可用的相關(guān)措施。 ?。ò耍?變更外包協(xié)議的流程，以及商業(yè)銀行或外包服務(wù)商選擇變更或終止外包協(xié)議的條件，例如： 1. 商業(yè)銀行或外包服務(wù)商的所有權(quán)或控制權(quán)發(fā)生變化。 2. 商業(yè)銀行或外包服務(wù)商的業(yè)務(wù)經(jīng)營發(fā)生重大變化。 3. 外包服務(wù)商提供的服務(wù)不充分，造成商業(yè)銀行不能履行監(jiān)督義務(wù)。 第五十九條 商業(yè)銀行在實施雙方關(guān)系管理，以及起草服務(wù)水平協(xié)議時，應(yīng)考慮的因素包括但不限于： ?。ㄒ唬?提出定性和定量的績效指標，評估外包服務(wù)商為商業(yè)銀行及其相關(guān)客戶提供服務(wù)的充分性。 ?。ǘ?通過服務(wù)水平報告、定期自我評估、內(nèi)部或外部獨立審計進行績效考核。 （三） 針對績效不達標的情況調(diào)整流程，采取整改措施。 第六十條 商業(yè)銀行應(yīng)加強信息科技相關(guān)外包管理工作，確保商業(yè)銀行的客戶資料等敏感信息的安全，包括但不限于采取以下措施： ?。ㄒ唬?實現(xiàn)本銀行客戶資料與外包服務(wù)商其他客戶資料的有效隔離。 ?。ǘ?按照“必需知道”和“最小授權(quán)”原則對外包服務(wù)商相關(guān)人員授權(quán)。 ?。ㄈ?要求外包服務(wù)商保證其相關(guān)人員遵守保密規(guī)定。 ?。ㄋ模?應(yīng)將涉及本銀行客戶資料的外包作為重要外包，并告知相關(guān)客戶。 （五） 嚴格控制外包服務(wù)商再次對外轉(zhuǎn)包，采取足夠措施確保商業(yè)銀行相關(guān)信息的安全。 ?。?確保在中止外包協(xié)議時收回或銷毀外包服務(wù)商保存的所有客戶資料。 第六十一條 商業(yè)銀行應(yīng)建立恰當?shù)膽?yīng)急措施，應(yīng)對外包服務(wù)商在服務(wù)中可能出現(xiàn)的重大缺失。尤其需要考慮外包服務(wù)商的重大資源損失，重大財務(wù)損失和重要人員的變動，以及外包協(xié)議的意外終止。 第六十二條 商業(yè)銀行所有信息科技外包合同應(yīng)由信息科技風險管理部門、法律部門和信息科技管理委員會審核通過。商業(yè)銀行應(yīng)設(shè)立流程定期審閱和修訂服務(wù)水平協(xié)議。 編輯本段第九章 內(nèi)部審計 第六十三條 商業(yè)銀行內(nèi)部審計部門應(yīng)根據(jù)業(yè)務(wù)的性質(zhì)、規(guī)模和復(fù)雜程度，對相關(guān)系統(tǒng)及其控制的適當性和有效性進行監(jiān)測。內(nèi)部審計部門應(yīng)配備足夠的資源和具有專業(yè)能力的信息科技審計人員，獨立于本銀行的日?；顒?，具有適當?shù)氖跈?quán)訪問本銀行的記錄。 第六十四條 商業(yè)銀行內(nèi)部信息科技審計的責任包括： ?。ㄒ唬?制定、實施和調(diào)整審計計劃，檢查和評估商業(yè)銀行信息科技系統(tǒng)和內(nèi)控機制的充分性和有效性。 ?。ǘ?按照第（一）款規(guī)定完成審計工作，在此基礎(chǔ)上提出整改意見。 ?。ㄈ?檢查整改意見是否得到落實。 ?。ㄋ模?執(zhí)行信息科技專項審計。信息科技專項審計，是指對信息科技安全事故進行的調(diào)查、分析和評估，或?qū)徲嫴块T根據(jù)風險評估結(jié)果對認為必要的特殊事項進行的審計。 第六十五條 商業(yè)銀行應(yīng)根據(jù)業(yè)務(wù)性質(zhì)、規(guī)模和復(fù)雜程度，信息科技應(yīng)用情況，以及信息科技風險評估結(jié)果，決定信息科技內(nèi)部審計范圍和頻率。但至少應(yīng)每三年進行一次全面審計。 第六十六條 商業(yè)銀行在進行大規(guī)模系統(tǒng)開發(fā)時，應(yīng)要求信息科技風險管理部門和內(nèi)部審計部門參與，保證系統(tǒng)開發(fā)符合本銀行信息科技風險管理標準。編輯本段第十章 外部審計 第六十七條 商業(yè)銀行可以在符合法律、法規(guī)和監(jiān)管要求的情況下，委托具備相應(yīng)資質(zhì)的外部審計機構(gòu)進行信息科技外部審計。 第六十八條 在委托審計過程中，商業(yè)銀行應(yīng)確保外部審計機構(gòu)能夠?qū)Ρ俱y行的硬件、軟件、文檔和數(shù)據(jù)進行檢查，以發(fā)現(xiàn)信息科技存在的風險，國家法律、法規(guī)及監(jiān)管部門規(guī)章、規(guī)范性文件規(guī)定的重要商業(yè)、技術(shù)保密信息除外。 第六十九條 商業(yè)銀行在實施外部審計前應(yīng)與外部審計機構(gòu)進行充分溝通，詳細確定審計范圍，不應(yīng)故意隱瞞事實或阻撓審計檢查。 第七十條 銀監(jiān)會及其派出機構(gòu)必要時可指定具備相應(yīng)資質(zhì)的外部審計機構(gòu)對商業(yè)銀行執(zhí)行信息科技審計或相關(guān)檢查。外部審計機構(gòu)根據(jù)銀監(jiān)會或其派出機構(gòu)的委托或授權(quán)對商業(yè)銀行進行審計時，應(yīng)出示委托授權(quán)書，并依照委托授權(quán)書上規(guī)定的范圍進行審計。 第七十一條 外部審計機構(gòu)根據(jù)授權(quán)出具的審計報告，經(jīng)銀監(jiān)會及其派出機構(gòu)審閱批準后具有與銀監(jiān)會及其派出機構(gòu)出具的檢查報告同等的效力，被審計的商業(yè)銀行應(yīng)根據(jù)該審計報告提出整改計劃，并在規(guī)定的時間內(nèi)實施整改。 第七十二條 商業(yè)銀行在委托外部審計機構(gòu)進行外部審計時，應(yīng)與其簽訂保密協(xié)議，并督促其嚴格遵守法律法規(guī)，保守本銀行的商業(yè)秘密和信息科技風險信息，防止其擅自對本銀行提供的任何文件進行修改、復(fù)制或帶離現(xiàn)場。編輯本段第十一章 附 則 第七十三條 未設(shè)董事會的商業(yè)銀行，應(yīng)當由其經(jīng)營決策機構(gòu)履行本指引中董事會的有關(guān)信息科技風險管理職責。 第七十四條 銀監(jiān)會依法對商業(yè)銀行的信息科技風險管理實施監(jiān)督檢查。 第七十五條 本指引由銀監(jiān)會負責解釋、修訂。 第七十六條 本指引自頒布之日起施行，《銀行業(yè)金融機構(gòu)信息系統(tǒng)風險管理指引》（銀監(jiān)發(fā)〔2006〕63號）同時廢止。8 /
公司管理相關(guān)推薦
鄂ICP備17016276號-1