银行业金融机构信息科技外包风险监管指引.pdf

《银行业金融机构信息科技外包风险监管指引.pdf》由会员分享，可在线阅读，更多相关《银行业金融机构信息科技外包风险监管指引.pdf（4页珍藏版）》请在淘文阁 - 分享文档赚钱的网站上搜索。

1、银行业金融机构信息科技外包风险监管指引中国银行业监督管理委员会银监发202115 号中国银监会关丁-印发银行业金融机构信息科技外包风险监管指引的通知各银监局，各政策性银行、国有商业银行、股份制商业银行、金融资产管理公司，邮 储银行，各省级农村信用联社，银监会直接监管的信托公司、企业集团财务公司、金融租 赁公司：现将银行业金融机构信息科技外包风险监管指引印发给你们，请遵照执行。2021 年 2 月 16 日银行业金融机构信息科技外包风险监管指引第一章总则第一条为规范银行业金融机构的信息科技外包活动，降低信息科技外包风险，根据中华人民共和国银行业监督管理法、中华人民共和 国商业银行法等法律法规，制

2、定本指引。第二条在中华人民共和国境内设立的政策性银行、商业银行、农村合作银行、省（口治区）农村信用社联合社适用本指引。银监会监管的其 他金融机构参照本指引执行。第三条本指引所称信息科技外包是指银行业金融机构将原本由口身负贵处理的信息科技活动委托给服务提供商进行处理的行为，包含项目外 包、人力资源外包等形式。原则上包括以下类型：（一）研发咨询类外包：科技管理及科技治理等咨询设计外包，规划、需求、系统 开发、测试外包：（二）系统运行维护类外包：包括数据中心（灾备中心）、机房配套设施、网络、系统的运维外包，口助设备、POS 机等远程终端及办公设备的运维外包：（三）业务外包中的信息科技活动：市场拓展、

3、业务操作、企业管理、资产处Z 等 外包中的系统开发、运行维护和数据处理活动。第四条 本指引所称关联外包是指服务提供商为银行业金融机构的母公司或其所属集团子公司、关联公司或附属机构提供信息科技外包。第五条信息科技外包可能产生如下风险，并导致银行业金融机构的战略、声誉、合规风险：（一）科技能力丧失：银行业金融机构过度依赖外部资源导致失去科技控制及创新 能力，影响业务创新与发展：（二）业务中断：支持业务运营的外包服务无法持续提供导致业务中断：（三）信息泄露：包含客户信息在内的银行业金融机构非公开数据被服务提供商非 法获得或泄露；（四）服务水平下降：由于外包服务质量问题或内外部协作效率低下，使得银行业

4、 金融机构信息科技服务水平下降。第六条本指引所称机构集中度风险是指银行业金融机构将信息科技外包服务集中交由少量服务提供商承接而产生的风险，该风险可能造成集 中性的服务中断、质量下降、安全事件等。第七条本指引所称同业托管机构是指作为外包服务提供商为其他同行业金融机构提供信息科技外包服务的银行业金融机构。第八条银行业金融机构应当将信息科技外包管理纳入全面风险管理体系，建立与本机构信息科技战略目标相适应的外包管理体系，控制或降 低由于外包而引发的风险。第九条银行业金融机构应当建立信息科技外包管理组织架构，制定外包管理战略，定期进行外包风险评估，通过服务提供商准入、评价、退 出等手段建立及维护符合自身

5、战略目标的供应商关系管理策略。第十条银行业金融机构在实施信息科技外包时应当坚持以下原则：（一）以不妨碍核心能力建设、积极掌握关键技术为导向：（二）保持外包风险、成本和效益的半衡；（三）强调外包风险的事前控制，保持管控力度；（四）根据外 包管理及技术发展趋势，持续改进外包策略和措施。第十一条银行业金融机构在实施信息科技外包时，不得将信息科技管理责任外包。第十二条对于不涉及银行客户及内部信息转移的信息科技产品采购、维保，及通讯线路租用、支付或清算系统接入等信息科技公共基础设 施服务，银行业金融机构应当充分评估其信息科技风险，按照本指引第五章要求进行管理。第二章外包管理组织架构第十三条银行业金融机构

6、董事会及高级管理层应当严格落实信息科技外包风险管理的相关职责，明确信息科技外包风险管理的主管部门，制定并审批信息科技外包战略，审议信息科技外包管理流程及制度，督促并监控信息科技 外包风险管理效果。第十四条信息科技外包风险主管部门的主要职责包括：（一）对外包风险进行识别、评估与风险提示；（二）监督、评价外包管理工作,并督促外包风险管理的持续改善：（三）向高级管理层定期汇报信息科技外包活动相关风险管理情况；（四）董事会或高级管理层确定的其他信息科技外包风险管理职责。第十五条银行业金融机构应当在信息科技管理部门或信息科技外包活动执行部门内建立信息科技外包管理执行团队，并配备足够人员履行 以下职责：（

7、一）实施信息科技外包战略；（二）制定并执行信息科技外包管理制度与流程；（三）执行供应商准入、评价、退出管理，建立并维护供应商关系管理策略：（四）制定保障外包服务持续性的应急管理方案，并组织实施定期演练：（五）对外包过程中的各项管理活动进行监控及分析，定期向信息科技及外包风险 管理主管部门报告外包活动情况。第三章信息科技外包战略及风险管理第一节信息科技外包战略第十六条银行业金融机构应当以提升信息科技队伍能力，提高科技管理及创新水半，掌握信息科技核心技能为目标，基于信息科技战略、外包市场环境、口身风险控制能力和风险偏好制定信息科技外包战略，包括：不能外包的 职能、资源能力建设方案、供应商关系管理策略和外包分级管理策略。第十七条 银行业金融机构应当根据口身信息科技战略明确不能外包的职能。涉及战略管理、风险管理、内部审计及其他有关信息科技核心 竞争力的职能不得外包。感谢您的阅读，祝您生活愉快。