银行信息技术外包管理办法模版.docx

银行信息技术外包管理办法（暂行）第一章 总 则第一条 为加强对信息化建设中外包单位的管理、确保信息化建设外包单位的资质、实施能力和工程质量达到标准与要求，防范合作过程中的各种风险，依据商业银行外包风险管理指引、银行外包风险管理办法等有关法律法规，结合我行实际，制定本办法。 第二条 本办法所称外包单位，包括信息化建设中各类软件和硬件供应商、应用项目合作开发单位、各类系统和设备的维护保修服务供应商，以及咨询服务单位等。第二章 外包项目的管理第三条 信息技术可外包的项目包括基础设施与服务器维保、机房装修、软件开发及其他总行批准的项目。第四条 总行信息技术委员会负责制定全行信息技术外包总体规划。第五条 总行信息技术部是总行信息化建设合作单位管理的归口管理部门，行使对合作单位的综合管理职能。其职能包括：（一）制订信息技术服务外包的发展规划；（二）定期审阅本机构外包活动相关报告；（三）定期安排内部审计，确保审计范围涵盖所有的外包安排；（四）确定机构的信息技术外包服务范围及相关安排； （五）签订信息技术外包服务合同，并明确双方在合同中的权利和义务； （六）建立和执行信息技术外包服务质量管理制度；（七）建立报告程序和应急处理流程；（八）在发现信息技术外包方的业务活动存在不足时，及时采取有效措施；（九）对信息技术外包服务采购项目必要时进行招标（谈判、询价）；（十）实施信息技术外包服务活动的日常质量管理和监督检查；（十一）对信息技术外包方实施分级管理；（十二）定期审阅本机构外包活动的有关报告；（十三）外包合同或协议变更前后实施的平稳过渡（包括终止合同可能发生的情况）；（十四）评估可能存在的集中风险，如多家共用同一外包方带来的潜在业务连续性风险； （十五）建立恰当的应急措施，应对外包方在服务中可能出现的重大缺失，尤其需要考虑外。第三章 外包方的调研和评价第六条 在确定信息技术外包方前，根据所确定的外包服务的内容对外包方进行调研和评价，调研和评价的内容应包括但不限于以下因素：（一）在满足组织需求所需的服务及支持技术方面的经验和能力；（二）在拟外包工作领域上的行业地位以及经验；（三）外包方所提供的外包服务与要求的匹配程度；（四）财务稳健性；（五）经营声誉及企业文化；（六）提供服务的主要人员的能力情况；（七）突发事件应对能力；（八）对金融行业的熟悉程度；（九）在拟外包服务质量管理能力；（十）服务费用；（十一）认为重要的其他事项。风险管理部门根据对外包方调研和评价的结果出具风险评估报告。第四章 外包方的选择第七条 依据有关管理制度、办法、标准的规定，总行通过集中采购形式在备选合作单位中遴选中标合作单位。第八条 总行信息技术部代表总行与备选合作单位签订保密协议，明确双方有关安全保密的责任与违约赔偿等内容。未与总行签订保密协议的单位，将视作不合格单位，取消其备选合作单位资格。单纯销售硬件、软件的备选合作单位可不在此列。第九条 在集中采购的招标活动中，原生产厂商中标后推荐的代理商和服务供应商应是总行的备选合作单位。中标厂商应向其出具书面的授权证明，具体说明其中标项目的商务、技术服务和违约责任等事项。第五章 外包合同管理第十条 建立正式的信息技术外包服务合同草拟、审定及审批流程，确保信息技术外包合同描述清晰、覆盖全面、权责明确，并经过正式的审定、批准。第十一条 开展信息技术外包活动时应当签订书面合同或协议，明确双方的权利义务，在签订合同或协议中应包含但不限于以下范围：（一）外包服务的范围和标准；（二）服务质量管理绩效标准；（三）外包服务的安全性及保密性的安排；（四）外包服务的业务连续性的安排；（五）外包服务质量监督和检查要求；（六）外包服务的费用安排；（七）外包服务的报告要求；（八）知识产权及信息所有权的约定；（九）包括通知、审批在内的分包相关约束要求及转包的限制条款；（十）合同的期限、合同终止的条件以及合同终止或变更时的过渡安排；（十一）外包争议的解决机制。第六章 外包服务的考核和服务质量监控第十二条 建立信息技术外包方质量监控和服务绩效考核程序，按策划的时间间隔对外包方进行考核，以确保能够有效控制外包服务质量并确保外包方按照合同要求提供相符合的服务。第十三条 根据需求、合同、服务质量绩效等建立明确的信息技术外包服务质量监控指标，监控指标根据所外包的服务内容的不同而有所差异，但应通过这些监控指标能够监控到外包服务的情况，服务监控指标可以包括但不局限于以下一些指标：（一）安全性指标：可用性评价、保密性评价；（二）可靠性指标：完备性评价、连续性评价、稳定性评价、可追溯性评价；（三）响应性指标：及时性评价、互动性评价；（四）有形性指标：可视性评价、专业性评价、合规性评价；（五）友好性指标：主动性评价、灵活性评价、礼貌性评价。第十四条 建立监控程序，项目建设责任部门定期进行监控，以确保外包方提供按照合同所规定的服务的质量，监控的内容应包括但不局限于以下几个方面：（一）外包方的财务状况和经营状况；（二）外包方的服务质量及指标达成情况； （三）外包方内部关键人员的变动情况，尤其是高层的变动和外包服务的关键技术人员的变动情况；（四）外包方全面履行合同的情况；（五）监控外包方应急方案和方案演练情况；（六）监控外包方的服务分包情况；（七）认为重要的其他事项。第七章 外包服务退出和交接管理第十五条 因信息技术外包服务合同期满终止或者依据法律规定和服务合同约定或其他认为合理的理由提前解除合同时，应提前成立专门部门或小组负责制定相关工作交接方案，并与外包方保持沟通和协调及有序地进行交接工作，确保信息工作的连续性。第十六条 总行信息技术部定期或按项目阶段对备选合作单位、合作单位组织考核。考核形式是收集项目建设责任部门对合作单位的评价意见，调研、评估备选合作单位、合作单位的资信及经营状况等。考核内容包括：备选合作单位、合作单位履行合同的资信情况与能力、遵守我行有关信息安全管理规定的情况、项目管理能力、人员技术素养、项目进度、存在问题等方面。第八章 外包方的服务要求第十七条 技术要求（一）技术内容包括实施外包项目所应用的技术、工具、方法、流程和创意；（二）外包方应按业务需要实施技术规划、应用、开发、创新和自有技术保护，针对不同的服务外包项目编制相应的技术规范及技术使用说明；（三）外包方应制订推动自身发展所需的核心技术发展规划，积累和建立拥有自主知识产权的核心技术、关键应用技术； （四）应用的技术应具有创新性、开放性、安全性和兼容性。第十八条 信息安全要求信息安全管理应符合相应的按国家标准的有关规定执行，并应满足以下要求：（一）制定相关的规章制度和有效的网络管理及数据保护措施，设置专人管理；（二）严格定义信息安全威胁，评估威胁来源、影响及可能性；（三）建立严格的身份认证制度和访问授权体系；（四）建立信息危害应对机制，采用完善的系统备份和故障恢复手段；（五）注重信息安全管理内部控制，按规定操作信息系统。第十九条 服务响应要求（一）外包方应进行服务外包项目需求调研和分析并提交分析报告，对不同需求层次的侧重点、优先级别、管理方式进行分类管理；（二）外包方应和双方共同检查需求分析的有效性、一致性、完备性和可实现性，双方对项目需求确认后外包方可进行外包服务策划和实施方案设计；（三）当需求调整时，外包方应与商定所必须遵循的操作流程，并且在服务项目变更达成共识后，应对服务项目内容和管理安排做出调整，其中包括人员安排、成本、进度等。第九章 外包方改进要求第二十条 项目管理部门应利用管理目标、内外部检查结果、数据分析、纠正措施和预防措施以及管理评审，督促外包商持续改进外包服务的质量管理。第二十一条 项目管理部门应督促外包方采取措施，以消除不合格的原因，防止不合格的再发生。纠正措施应与所遇到不合格的影响程度相适应。 第十章 附 则第二十二条 本办法由总行信息技术部负责解释、修订。第二十三条 本办法自发布之日起实施。