银行业信息科技风险监管现场检查手册.docx

银行业信息科技风险监管现场检查手册 前 言 信息科技已经成为银行业金融机构实现经营战略和业务运营的基础平台以及金融创新的 重要手段。银行业对信息科技的高度依靠，确定了信息系统的平安性、牢靠性和有效性对维 系整个银行业的平安和金融体系的稳定具有至关重要的作用。 银监会党委对信息科技风险监管工作高度重视，刘明康主席多次召开专项工作会议并做 出重要批示和指示，明确要求着力推动信息科技风险监管。银监会坚持贯彻“管法人、管风险、管内控、提高透亮度”的监管理念，把信息科技风险纳入银行总体风险监管框架，切实加强制 度建设和风险监控，确保银行业信息系统平安稳定。 在目前信息技术革新日新月异、金融业务不断创新、银行对信息科技依靠性越来越大的 新形势下，银监会坚持“风险为本”的监管原则，提出了信息科技风险功能性监管的新思路， 突出“制度先行”，完善监管框架，借鉴和汲取国际先进标准及业界最佳实践，不断丰富信息 科技风险监管方式方法，制定了一系列的监管规范，结合奥运保障开呈现场检查，并针对性 地发出有关风险提示，建立非现场监管体系和监管评级体系，从而构建了信息科技风险监管 的基础框架，全面绽开信息科技风险的监管工作。 根据郭利根副主席提出的“集成资源，形成信息科技风险监管合力”和“搞好规划，全面加 强信息科技风险监管制度建设”要求，银监会强化机制建设、优化资源配置，整合科技人力资 源，集中全国银监会系统科技骨干力气，在北京成立了信息科技监管“专项工作组”，又在上 海、深圳两地分别成立信息科技风险监管工作室，根据统一调度、统一指挥、统一培训的工 作原则，制度建设、奥运保障、现场检查、非现场监管及监管评级五线并举，形成了矩阵式 的监管工作模式，快速熬炼了一支能战会战、能够担当重任的信息科技风险专业化监管队伍。 手册的编写得到了各方的大力支持。上海、湖北、安徽、山东、山西、江苏、江西、河南、内蒙古、黑龙江、青岛、福建、河北、宁夏、辽宁、吉林、浙江、四川、深圳、广东、 1 天津、重庆、大连、云南、贵州银监局派出精锐技术骨干，参与手册编写工作；银监会 各部门与各银监局提出了很多珍贵看法；上海银监局为编写工作供应了大量支持和保障工作。 整个手册内容融合了银监系统内信息科技人员的阅历和才智，汇聚了银监会各部门与各 银监局的珍贵看法和建议，应属于银监会系统及科技人员共同努力的成果和结晶。在此，向 全部参加工作的单位和个人致以真诚的谢意！ 2 编写人员 林 丽 朱永扬 怿卫飞 李 丹 骆絮飞 邹 伟 房世晖 崔维琪 朱 斌 冯业伟 叶 照 乔昱瑞 纪奀 武 齐兴利 吴瑞麟 陈宏宇 谭 杨 李 鹏 3 张 伟 周嘉弘 史文明 李海波 张惠芳 郝海峰 何 禹 包 龙 李晓东 杨中华 靖雪晶 殷有超 陆 阳 崔 晨 怿美东 陆 翔 盛于南 怿殿南 陈云龙 游 琨 刘 楠 目 录 第一部分 概述.2 1.银行信息科技风险及其监管 .2 1.1 银行信息科技风险 .2 1.2 银行信息科技风险特点 .2 1.3 风险成因分析 .3 1.4 信息科技风险监管意义 .4 2.现场检查一般流程 .5 2.1 现场检查打算阶段 .5 2.2 现场检查实施阶段 .7 2.3 现场检查后续阶段 .8 3.常用检查方法 .9 其次部分 科技管理.11 4.科技治理 .11 4.1 董事会及高管层 .11 检查项 1 ：董事会和高级管理层.11 4.2 信息科技工作的管理机构 .12 检查项 1 ：全行信息科技工作的管理机构 .12 4.3 信息科技部门 .13 检查项 1 ：信息科技部门.13 4.4 信息科技战略规划 .15 检查项 1 ：信息科技战略规划.15 4.5 信息科技风险管理部门 .15 检查项 1 ：信息科技风险管理部门 .15 4.6 信息科技风险审计 .16 4 检查项 1 ：信息科技风险审计机制 .16 4.7 学问产权爱护 .17 检查项 1 ：敉识产权制度.17 4.8 信息披露 .17 检查项 1 ：信息披露 .17 5.连续性管理 .18 5.1 信息系统连续性组织 .18 检查项 1：系统连续性管理组织.18 检查项 2：系统连续性管理组织职责 .19 检查项 3：系统连续性安排编制、维护.20 检查项 4：系统连续性安排编制、维护职责 .20 检查项 5：系统连续性安排执行组织 .20 检查项 6：系统连续性安排执行组织职责 .21 检查项 7：人员变动管理.22 5.2 信息系统连续性安排 .22 检查项 1：系统连续性安排 .22 检查项 2：测试及持续更新 .24 检查项 3：信息系统连续性安排管理 .25 检查项 4：系统连续性安排培训.25 检查项 5：系统连续性安排审计.25 6.应急管理 .26 6.1 应急组织 .26 检查项 1：应急管理团队.26 检查项 2：应急管理职责.27 检查项 3：应急管理制度.27 6.2 应急预案 .27 检查项 1：应急预案制订.27 5 检查项 2：应急预案内容.28 检查项 3：应急预案更新.29 检查项 4：外包服务应急.29 检查项 5：应急培训.29 6.3 应急演练 .30 检查项 1：应急演练前 .30 检查项 2：应急演练过程.30 检查项 3：应急演练后 .30 6.4 应急响应 .31 检查项 1：应急响应流程.31 检查项 3：应急事务报告.32 检查项 4：与第三方沟通.32 检查项 5 ：向新闻媒体通报制度.32 检查项 6：应急处置总结.33 6.5 应急保障 .33 检查项 1：人员保障.33 检查项 2：物质保障.33 检查项 3：技术保障.34 检查项 4：沟通保障.34 6.6 持续改进 .34 检查项 1：应急事务评估、改进.34 检查项 2：应急响应评估.35 检查项 3：应急管理评估.35 检查项 4：纳入全面风险管理机制 .35 7.信息系统平安管理 .35 7.1 平安管理组织 .36 检查项 1：管理目标.36 6 检查项 2：人员风险.36 7.2 平安管理制度 .37 检查项 1：规章制度.37 检查项 2：制度合规.38 查项 3：制度执行.38 检查项 4：宣扬和教化培训 .39 检查项 5：事务响应和处理 .39 8.外包管理 .40 8.1 服务外包管理制度 .40 检查项 1：服务外包管理制度 .40 检查项 2：对重要外包项目评估.41 检查项 3：外包平安保密措施 .41 8.2 服务外包管理风险评估 .41 检查项 1：对服务外包商评估 .41 检查项 2：对服务外包商审查 .42 8.3 服务外包审批 .42 检查项 1：服务外包审批流程 .42 8.4 服务外包应急响应 .42 检查项 1：服务外包应急安排 .42 检查项 2：服务外包商联络机制.43 检查项 3：服务外包应急演练 .43 8.5 外包合同 .43 检查项 1：外包合同.43 检查项 2：服务外包商访问权限.44 检查项 3：外包服务法律风险 .44 8.6 服务外包文档的完备性 .45 检查项 1：服务外包文档.45 银行业信息科技风险监管现场检查手册 银行业信息科技风险监管报告 银行业金融机构信息科技风险非现场监管报表 银行业金融机构信息科技外包风险监管指引 商业银行信息科技风险现场检查指南 银行业金融机构信息科技外包风险监管指引正式发文版 银行业信息科技风险管理课题成果公布 基层银行业信息科技风险表现及防范对策 银行业金融机构信息科技风险评价审计要点 刘明康：风险集中已成银行业监管最大挑战 本文来源：网络收集与整理，如有侵权，请联系作者删除，谢谢！第20页 共20页第 20 页 共 20 页第 20 页 共 20 页第 20 页 共 20 页第 20 页 共 20 页第 20 页 共 20 页第 20 页 共 20 页第 20 页 共 20 页第 20 页 共 20 页第 20 页 共 20 页第 20 页 共 20 页