銀監發(fā)〔2013〕5號《中國銀監會(huì )關(guān)于印發(fā)銀行業(yè)金融機構信息科技外包風(fēng)險監管指引的通知》【全文廢止】

中國銀監會(huì )關(guān)于印發(fā)銀行業(yè)金融機構信息科技外包風(fēng)險監管指引的通知【全文廢止】





銀監發(fā)〔2013〕5號

全文廢止，廢止依據：2021年12月30日發(fā)布的《中國銀保監會(huì )辦公廳關(guān)于印發(fā)銀行保險機構信息科技外包風(fēng)險監管辦法的通知》（銀保監辦發(fā)〔2021〕141號）

中國銀監會(huì )關(guān)于印發(fā)銀行業(yè)金融機構信息科技外包風(fēng)險監管指引的通知

各銀監局，各政策性銀行、國有商業(yè)銀行、股份制商業(yè)銀行、金融資產(chǎn)管理公司，郵儲銀行，各省級農村信用聯(lián)社，銀監會(huì )直接監管的信托公司、企業(yè)集團財務(wù)公司、金融租賃公司：

現將《銀行業(yè)金融機構信息科技外包風(fēng)險監管指引》印發(fā)給你們，請遵照執行。






 

中國銀監會(huì )

2013年2月16日

銀行業(yè)金融機構信息科技外包風(fēng)險監管指引




第一章 總則

第一條 為規范銀行業(yè)金融機構的信息科技外包活動(dòng)，降低信息科技外包風(fēng)險，根據《中華人民共和國銀行業(yè)監督管理法》、《中華人民共和國商業(yè)銀行法》等法律法規，制定本指引。

第二條 在中華人民共和國境內設立的政策性銀行、商業(yè)銀行、農村合作銀行、?。ㄗ灾螀^）農村信用社聯(lián)合社適用本指引。銀監會(huì )監管的其他金融機構參照本指引執行。

第三條 本指引所稱(chēng)信息科技外包是指銀行業(yè)金融機構將原本由自身負責處理的信息科技活動(dòng)委托給服務(wù)提供商進(jìn)行處理的行為，包含項目外包、人力資源外包等形式。原則上包括以下類(lèi)型：

（一）研發(fā)咨詢(xún)類(lèi)外包：科技管理及科技治理等咨詢(xún)設計外包，規劃、需求、系統開(kāi)發(fā)、測試外包；

（二）系統運行維護類(lèi)外包：包括數據中心（災備中心）、機房配套設施、網(wǎng)絡(luò )、系統的運維外包，自助設備、POS機等遠程終端及辦公設備的運維外包；

（三）業(yè)務(wù)外包中的信息科技活動(dòng)：市場(chǎng)拓展、業(yè)務(wù)操作、企業(yè)管理、資產(chǎn)處置等外包中的系統開(kāi)發(fā)、運行維護和數據處理活動(dòng)。

第四條 本指引所稱(chēng)關(guān)聯(lián)外包是指服務(wù)提供商為銀行業(yè)金融機構的母公司或其所屬集團子公司、關(guān)聯(lián)公司或附屬機構提供信息科技外包。

第五條 信息科技外包可能產(chǎn)生如下風(fēng)險，并導致銀行業(yè)金融機構的戰略、聲譽(yù)、合規風(fēng)險：

（一）科技能力喪失：銀行業(yè)金融機構過(guò)度依賴(lài)外部資源導致失去科技控制及創(chuàng )新能力，影響業(yè)務(wù)創(chuàng )新與發(fā)展；

（二）業(yè)務(wù)中斷：支持業(yè)務(wù)運營(yíng)的外包服務(wù)無(wú)法持續提供導致業(yè)務(wù)中斷；

（三）信息泄露：包含客戶(hù)信息在內的銀行業(yè)金融機構非公開(kāi)數據被服務(wù)提供商非法獲得或泄露；

（四）服務(wù)水平下降：由于外包服務(wù)質(zhì)量問(wèn)題或內外部協(xié)作效率低下，使得銀行業(yè)金融機構信息科技服務(wù)水平下降。

第六條 本指引所稱(chēng)機構集中度風(fēng)險是指銀行業(yè)金融機構將信息科技外包服務(wù)集中交由少量服務(wù)提供商承接而產(chǎn)生的風(fēng)險，該風(fēng)險可能造成集中性的服務(wù)中斷、質(zhì)量下降、安全事件等。

第七條 本指引所稱(chēng)同業(yè)托管機構是指作為外包服務(wù)提供商為其他同行業(yè)金融機構提供信息科技外包服務(wù)的銀行業(yè)金融機構。

第八條 銀行業(yè)金融機構應當將信息科技外包管理納入全面風(fēng)險管理體系，建立與本機構信息科技戰略目標相適應的外包管理體系，控制或降低由于外包而引發(fā)的風(fēng)險。

第九條 銀行業(yè)金融機構應當建立信息科技外包管理組織架構，制定外包管理戰略，定期進(jìn)行外包風(fēng)險評估，通過(guò)服務(wù)提供商準入、評價(jià)、退出等手段建立及維護符合自身戰略目標的供應商關(guān)系管理策略。

第十條 銀行業(yè)金融機構在實(shí)施信息科技外包時(shí)應當堅持以下原則：

（一）以不妨礙核心能力建設、積極掌握關(guān)鍵技術(shù)為導向；

（二）保持外包風(fēng)險、成本和效益的平衡；

（三）強調外包風(fēng)險的事前控制，保持管控力度；

（四）根據外包管理及技術(shù)發(fā)展趨勢，持續改進(jìn)外包策略和措施。

第十一條 銀行業(yè)金融機構在實(shí)施信息科技外包時(shí)，不得將信息科技管理責任外包。

第十二條 對于不涉及銀行客戶(hù)及內部信息轉移的信息科技產(chǎn)品采購、維保，及通訊線(xiàn)路租用、支付或清算系統接入等信息科技公共基礎設施服務(wù)，銀行業(yè)金融機構應當充分評估其信息科技風(fēng)險，按照本指引第五章要求進(jìn)行管理。


 

第二章 外包管理組織架構

第十三條 銀行業(yè)金融機構董事會(huì )及高級管理層應當嚴格落實(shí)信息科技外包風(fēng)險管理的相關(guān)職責,明確信息科技外包風(fēng)險管理的主管部門(mén)，制定并審批信息科技外包戰略，審議信息科技外包管理流程及制度，督促并監控信息科技外包風(fēng)險管理效果。

第十四條 信息科技外包風(fēng)險主管部門(mén)的主要職責包括：

（一）對外包風(fēng)險進(jìn)行識別、評估與風(fēng)險提示；

（二）監督、評價(jià)外包管理工作，并督促外包風(fēng)險管理的持續改善；

（三）向高級管理層定期匯報信息科技外包活動(dòng)相關(guān)風(fēng)險管理情況；

（四）董事會(huì )或高級管理層確定的其他信息科技外包風(fēng)險管理職責。

第十五條 銀行業(yè)金融機構應當在信息科技管理部門(mén)或信息科技外包活動(dòng)執行部門(mén)內建立信息科技外包管理執行團隊，并配備足夠人員履行以下職責：

（一）實(shí)施信息科技外包戰略；

（二）制定并執行信息科技外包管理制度與流程；

（三）執行供應商準入、評價(jià)、退出管理，建立并維護供應商關(guān)系管理策略；

（四）制定保障外包服務(wù)持續性的應急管理方案，并組織實(shí)施定期演練；

（五）對外包過(guò)程中的各項管理活動(dòng)進(jìn)行監控及分析，定期向信息科技及外包風(fēng)險管理主管部門(mén)報告外包活動(dòng)情況。


 

第三章 信息科技外包戰略及風(fēng)險管理

第一節 信息科技外包戰略


第十六條 銀行業(yè)金融機構應當以提升信息科技隊伍能力，提高科技管理及創(chuàng )新水平，掌握信息科技核心技能為目標，基于信息科技戰略、外包市場(chǎng)環(huán)境、自身風(fēng)險控制能力和風(fēng)險偏好制定信息科技外包戰略，包括：不能外包的職能、資源能力建設方案、供應商關(guān)系管理策略和外包分級管理策略。

第十七條 銀行業(yè)金融機構應當根據自身信息科技戰略明確不能外包的職能。涉及戰略管理、風(fēng)險管理、內部審計及其他有關(guān)信息科技核心競爭力的職能不得外包。

第十八條 銀行業(yè)金融機構應當根據外包戰略制定資源、能力建設方案，通過(guò)補充人員、提升技能、知識轉移等方式，有針對性地獲取或提升管理及技術(shù)能力，降低對服務(wù)提供商的依賴(lài)。

第十九條 銀行業(yè)金融機構應當建立與自身規模、市場(chǎng)地位相適應的供應商關(guān)系管理策略。通過(guò)準入和退出機制合理管控各類(lèi)高風(fēng)險服務(wù)提供商的數量，實(shí)現以下目標：防范行業(yè)壟斷和機構集中度風(fēng)險，通過(guò)引入適當的競爭在降低采購成本的同時(shí)提高服務(wù)質(zhì)量，合理管控服務(wù)提供商的數量從而降低風(fēng)險及管理成本等。

第二十條 銀行業(yè)金融機構可以按照外包服務(wù)性質(zhì)和重要性程度對服務(wù)提供商進(jìn)行分級管理，對不同級別的服務(wù)提供商采取差異化的管控措施，在有效管理重要風(fēng)險的前提下降低管理成本。

第二十一條 銀行業(yè)金融機構要同母公司或集團公司協(xié)同做好外包服務(wù)及服務(wù)提供商的管理工作，但應當保持關(guān)聯(lián)外包有關(guān)決策的獨立性，避免因關(guān)聯(lián)關(guān)系而降低外包活動(dòng)的風(fēng)險控制水平。


第二節 信息科技外包風(fēng)險管理


第二十二條 銀行業(yè)金融機構信息科技外包風(fēng)險管理部門(mén)應當至少每年開(kāi)展一次全面的外包風(fēng)險管理評估，保持評估的獨立性，并向高級管理層提交評估報告。評估內容包括：信息科技外包戰略執行情況、外包信息安全、機構集中度、服務(wù)連續性、服務(wù)質(zhì)量、政策及市場(chǎng)變化對外包服務(wù)的影響分析等。

第二十三條 銀行業(yè)金融機構應當對重要的外包服務(wù)提供商進(jìn)行定期的風(fēng)險評估，保持評估的獨立性。至少在三年內覆蓋所有重要的服務(wù)提供商。評估內容包括：服務(wù)提供商合規情況、服務(wù)的執行效果等，評估結果應當作為服務(wù)提供商準入及退出的重要依據。

第二十四條 銀行業(yè)金融機構內部審計部門(mén)應當定期開(kāi)展信息科技外包風(fēng)險管理審計工作，至少每三年對重要的外包服務(wù)活動(dòng)進(jìn)行一次全面審計。發(fā)生外包風(fēng)險事件后應當及時(shí)開(kāi)展專(zhuān)項審計。


 

第四章 信息科技外包管理

第一節 外包風(fēng)險評估及準入


第二十五條 外包項目立項前，銀行業(yè)金融機構應當審慎檢查項目與信息科技外包戰略的一致性，根據項目?jì)热?、范圍、性質(zhì)對其進(jìn)行風(fēng)險識別和評估，制定相應的風(fēng)險處置措施，不因外包活動(dòng)的引入而增加整體剩余風(fēng)險。重大外包項目應向董事會(huì )、高管層報告。

第二十六條 銀行業(yè)金融機構應當根據供應商關(guān)系管理策略，結合風(fēng)險評估結果及服務(wù)提供商的準入標準，對備選服務(wù)提供商進(jìn)行初步篩選，防范引入高機構集中度風(fēng)險特點(diǎn)的服務(wù)提供商、或引入增加整體風(fēng)險的服務(wù)提供商。

第二十七條 對于外包服務(wù)提供商為同業(yè)托管機構的情況，銀行業(yè)金融機構可參照本節內容對其進(jìn)行管理。


第二節 服務(wù)提供商盡職調查


第二十八條 對重要的服務(wù)提供商，銀行業(yè)金融機構在與其簽訂合同前應當深入開(kāi)展盡職調查，必要時(shí)可聘請第三方機構協(xié)助調查。

第二十九條 銀行業(yè)金融機構在盡職調查時(shí)應當關(guān)注服務(wù)提供商的技術(shù)和行業(yè)經(jīng)驗，包括但不限于：服務(wù)能力和支持技術(shù)、服務(wù)經(jīng)驗、服務(wù)人員技能、市場(chǎng)評價(jià)、監管評價(jià)等。

第三十條 銀行業(yè)金融機構在盡職調查時(shí)應當關(guān)注服務(wù)提供商的內部控制和管理能力，包括但不限于：內部控制機制和管理流程的完善程度、內部控制技術(shù)和工具等。

第三十一條 銀行業(yè)金融機構在盡職調查時(shí)應當關(guān)注服務(wù)提供商的持續經(jīng)營(yíng)狀況，包括但不限于：從業(yè)時(shí)間、市場(chǎng)地位及發(fā)展趨勢、資金的安全性、近期盈利情況等。

第三十二條 對于關(guān)聯(lián)外包，銀行業(yè)金融機構不得因關(guān)聯(lián)關(guān)系而降低對服務(wù)提供商的要求，應當在盡職調查階段詳細分析服務(wù)提供商技術(shù)、內控和管理水平，確認其有足夠能力實(shí)施外包服務(wù)、處理突發(fā)事件等。

第三十三條 對于外包服務(wù)提供商為同業(yè)托管機構的情況，銀行業(yè)金融機構可參照本節內容對其進(jìn)行管理。


第三節 外包服務(wù)合同及要求


第三十四條 銀行業(yè)金融機構在實(shí)施外包服務(wù)項目前，應當與服務(wù)提供商簽訂服務(wù)合同。合同應當根據外包服務(wù)需求、風(fēng)險評估及盡職調查結果確定詳細程度和重點(diǎn)。

第三十五條 銀行業(yè)金融機構在合同或協(xié)議中應當明確以下內容，包括但不限于：

（一）服務(wù)范圍、服務(wù)內容、工作時(shí)限及安排、責任分配、交付物要求以及后續合作中的相關(guān)限定條件；

（二）合規與內控要求，對法律法規及銀行業(yè)金融機構內部管理制度的遵從要求、監管政策的通報貫徹機制、服務(wù)提供商的內控措施；

（三）服務(wù)連續性要求，服務(wù)提供商的服務(wù)連續性管理目標應當滿(mǎn)足銀行業(yè)金融機構業(yè)務(wù)連續性目標要求；

（四）銀行業(yè)金融機構監控和檢查的權利、頻率，服務(wù)提供商配合其內、外部審計機構檢查，及配合銀行業(yè)監管機構檢查的責任；

（五）政策或環(huán)境變化因素等在內的合同變更或終止的觸發(fā)條件，外包服務(wù)提供商在過(guò)渡期間應該履行的主要職責及合同變更或終止的過(guò)渡安排，包括信息、資料和設施的交接處置等過(guò)渡期間相關(guān)服務(wù)的安排；

（六）外包服務(wù)過(guò)程中產(chǎn)生、加工、交互的信息和知識產(chǎn)權的歸屬權以及允許服務(wù)提供商使用的內容及范圍，對服務(wù)提供商使用合法軟、硬件產(chǎn)品的要求；

（七）服務(wù)要求或服務(wù)水平條款，至少應當包括如下內容：外包服務(wù)的關(guān)鍵要素、服務(wù)時(shí)效和可用性、數據的機密性和完整性要求、變更的控制、安全標準的遵守情況、技術(shù)支持水平等；

（八）爭端解決機制、違約及賠償條款，至少包括如下內容：服務(wù)質(zhì)量違約、安全違約、知識產(chǎn)權違約等，及在各種違約情況下的賠償以及外包爭端的解決機制；

（九）報告條款，至少包括常規報告內容和報告頻度、突發(fā)事件時(shí)的報告路線(xiàn)、報告方式及時(shí)限要求。

第三十六條 銀行業(yè)金融機構應當在合同或協(xié)議中明確服務(wù)提供商在安全和保密方面的責任，以及針對安全及保密要求需采取的具體措施。包括但不限于：

（一）禁止服務(wù)提供商在合同允許范圍外使用或者披露銀行業(yè)金融機構的信息，以防止信息被非授權使用；

（二）在合同或協(xié)議中約定服務(wù)提供商對銀行客戶(hù)信息安全和銀行客戶(hù)權利的保護條款、事故處理方式及違約賠償條款；

（三）在合同或協(xié)議中約定服務(wù)提供商不得以所服務(wù)的銀行業(yè)金融機構名義開(kāi)展活動(dòng)；

（四）服務(wù)提供商接觸銀行業(yè)金融機構信息時(shí)，需滿(mǎn)足安全和保密相關(guān)條款的要求；

（五）在發(fā)生銀監會(huì )規定的信息科技突發(fā)事件，或發(fā)生可能引發(fā)系統性、區域性銀行業(yè)信息科技風(fēng)險類(lèi)突發(fā)事件時(shí)，服務(wù)提供商應及時(shí)向銀行業(yè)金融機構報告，包括事件的影響以及處置和糾正措施。

第三十七條 銀行業(yè)金融機構應當在合同或協(xié)議中明確要求服務(wù)提供商不得將外包服務(wù)轉包和變相轉包。在涉及外包服務(wù)分包時(shí)應當要求：

（一）不得將外包服務(wù)的主要業(yè)務(wù)分包；

（二）主服務(wù)提供商對服務(wù)水平負總責，確保分包服務(wù)提供商能夠嚴格遵守外包合同或協(xié)議；

（三）主服務(wù)提供商對分包商進(jìn)行監控，并對分包商的變更履行通知或報告審批義務(wù)。


第四節 外包服務(wù)安全管理


第三十八條 銀行業(yè)金融機構應當制定和落實(shí)信息安全管控措施，防范因外包活動(dòng)引起的信息泄露、信息篡改、信息不可用、非法入侵、物理環(huán)境或設施遭受破壞等風(fēng)險。具體措施包括：

（一）對外包人員進(jìn)行信息安全培訓，提高風(fēng)險管理意識，確保信息安全管控措施在外包服務(wù)過(guò)程中有效落實(shí)；

（二）明確外包活動(dòng)需要訪(fǎng)問(wèn)或使用的信息資產(chǎn)，包括場(chǎng)地、辦公設施、計算機、服務(wù)器、軟件、數據、信息、物理訪(fǎng)問(wèn)控制設備、賬號、網(wǎng)絡(luò )寬帶、網(wǎng)絡(luò )端口等，按“必需知道”和“最小授權”原則進(jìn)行訪(fǎng)問(wèn)授權；

（三）對重要或核心的信息系統開(kāi)發(fā)交付物進(jìn)行源代碼檢查和安全掃描；

（四）定期對服務(wù)提供商進(jìn)行安全檢查，獲取服務(wù)提供商自評估或第三方評估報告。

第三十九條 銀行業(yè)金融機構對關(guān)聯(lián)外包服務(wù)提供商定期進(jìn)行的安全檢查，不得以服務(wù)提供商的自評估替代，不得因關(guān)聯(lián)關(guān)系而影響檢查的獨立性、客觀(guān)性及公正性。

第四十條 銀行業(yè)金融機構應當關(guān)注外包服務(wù)引入的新技術(shù)或新應用對現有治理模式及安全架構的沖擊，及時(shí)完善信息安全管控體系，避免因新技術(shù)或應用的引入而增加額外的信息安全風(fēng)險。


第五節 外包服務(wù)監控與評價(jià)


第四十一條 銀行業(yè)金融機構應當對外包服務(wù)過(guò)程進(jìn)行持續監控，要求服務(wù)提供商建立階段性服務(wù)目標及任務(wù)，并跟蹤任務(wù)的執行情況，及時(shí)發(fā)現和糾正服務(wù)過(guò)程中存在的各類(lèi)異常情況。

第四十二條 銀行業(yè)金融機構應當根據信息科技外包需求、合同、服務(wù)水平協(xié)議等建立明確的服務(wù)質(zhì)量監控指標，并進(jìn)行相應監控。常見(jiàn)指標包括：

（一）信息系統和設備及基礎設施的可用率、設備的開(kāi)機率；

（二）故障次數、故障解決率、故障的響應時(shí)間；

（三）服務(wù)的次數、客戶(hù)滿(mǎn)意度；

（四）各階段業(yè)務(wù)需求的及時(shí)完成率、程序的缺陷數、需求變更率；

（五）外包人員工作飽和率、外包人員的考核合格率。

第四十三條 銀行業(yè)金融機構應當建立明確的服務(wù)目錄、服務(wù)水平協(xié)議以及服務(wù)水平監控評價(jià)機制,并確保外包服務(wù)監控基礎數據和評價(jià)結果的真實(shí)性和完整性，且數據至少需保存到服務(wù)結束后一年。

第四十四條 銀行業(yè)金融機構應當對服務(wù)提供商的財務(wù)、內控及安全管理進(jìn)行持續監控，關(guān)注其因破產(chǎn)、兼并、關(guān)鍵人員流失、投入不足和管理不善等因素引發(fā)的財務(wù)狀況惡化及內部管理混亂等情況，防范外包服務(wù)意外終止或服務(wù)質(zhì)量的急劇下降。

第四十五條 銀行業(yè)金融機構監控到異常情況時(shí)，應當及時(shí)督促服務(wù)提供商采取糾正措施，情節嚴重的或未及時(shí)糾正的，應當約談服務(wù)提供商高管人員并限期整改。

第四十六條 外包服務(wù)結束時(shí)，銀行業(yè)金融機構應當對服務(wù)提供商進(jìn)行評價(jià)，評價(jià)結果應當作為服務(wù)提供商準入的重要參考依據。

第四十七條 對于關(guān)聯(lián)外包，銀行業(yè)金融機構董事會(huì )及高級管理層應當推動(dòng)母公司或所屬集團將外包服務(wù)質(zhì)量納入對服務(wù)提供商的業(yè)績(jì)評價(jià)范圍，建立外包服務(wù)重大事件問(wèn)責機制。同時(shí)，應當要求服務(wù)提供商在其內部建立與外包服務(wù)水平相關(guān)的績(jì)效考核機制。


第六節 外包服務(wù)中斷與終止


第四十八條 銀行業(yè)金融機構應當考慮信息科技外包的引入對業(yè)務(wù)連續性管理的影響，有針對性地完善業(yè)務(wù)連續性管理計劃，包括但不限于：

（一）識別出重要業(yè)務(wù)所涉及的服務(wù)提供商和資源；

（二）通過(guò)合同、協(xié)議等形式明確要求服務(wù)提供商提前準備并維護好相關(guān)資源；

（三）對服務(wù)提供商業(yè)務(wù)連續性管理進(jìn)行監控，并評價(jià)其管理水平；

（四）在進(jìn)行業(yè)務(wù)連續性計劃演練時(shí)將相關(guān)的服務(wù)提供商納入演練范圍。

第四十九條 為降低外包突發(fā)事件的可能性及影響，銀行業(yè)金融機構應當事先對業(yè)務(wù)連續性管理造成重大影響的外包服務(wù)建立風(fēng)險控制、緩釋或轉移措施，包括但不限于以下內容：

（一）在外包服務(wù)實(shí)施過(guò)程中持續收集服務(wù)提供商相關(guān)信息，盡早發(fā)現可能導致服務(wù)中斷的情況；

（二）與服務(wù)提供商事先約定在其服務(wù)質(zhì)量不能滿(mǎn)足合同要求的情況下獲取其外包服務(wù)資源的優(yōu)先權；

（三）要求服務(wù)提供商制定服務(wù)中斷相關(guān)的應急處理預案，如提供備份人員；

（四）對于涉及重要業(yè)務(wù)的外包服務(wù)，銀行業(yè)金融機構需考慮預先在其內部配置相應的人力資源，掌握必要的技能，以在外包服務(wù)中斷期間自行維持最低限度的服務(wù)能力。

第五十條 銀行業(yè)金融機構應當針對重要外包服務(wù)中斷的場(chǎng)景，擬定相應的應急計劃，并定期進(jìn)行演練，考慮因素包括但不限于以下內容：

（一）事件場(chǎng)景，如重要人員流失導致服務(wù)無(wú)法持續，服務(wù)提供商主動(dòng)退出，因資質(zhì)變更、被收購、兼并或破產(chǎn)等原因導致的服務(wù)提供商被動(dòng)退出等；

（二）事件持續時(shí)間和恢復可能性；

（三）事件影響范圍和可能的應急措施；

（四）服務(wù)提供商自行恢復服務(wù)的可能性和時(shí)間；

（五）備選的服務(wù)提供商以及外包服務(wù)遷移方案；

（六）外包服務(wù)過(guò)渡給銀行業(yè)金融機構自行運作的可能性、時(shí)效及資源需求。

第五十一條 對于無(wú)法滿(mǎn)足外包服務(wù)要求或發(fā)生重大事件的情況，銀行業(yè)金融機構應當在充分評估其影響及制定退出計劃的前提下，考慮主動(dòng)要求服務(wù)提供商終止服務(wù)，情節特別嚴重的，可考慮取消準入資質(zhì)，并報監管機構申請對其備案。對于關(guān)聯(lián)外包，銀行業(yè)金融機構不得因為關(guān)聯(lián)關(guān)系而影響服務(wù)提供商退出機制的落實(shí)。

 

第五章 機構集中度風(fēng)險管理

第五十二條 銀行業(yè)金融機構應當依據服務(wù)提供商所承接外包服務(wù)的數量、金額在本行重要信息科技服務(wù)中的占比，服務(wù)提供商所承接外包服務(wù)在銀行業(yè)服務(wù)市場(chǎng)占比情況，識別具有機構集中度特點(diǎn)的外包服務(wù)提供商。同時(shí)，還應識別服務(wù)提供商之間為集團子公司、關(guān)聯(lián)公司或附屬機構所產(chǎn)生的機構集中度風(fēng)險。

第五十三條 銀行業(yè)金融機構應當積極采用分散信息科技外包活動(dòng)、提高自主研發(fā)運行能力等形式，降低機構集中度，減少對外包服務(wù)提供商的依賴(lài)。

第五十四條 銀行業(yè)金融機構應當要求具有機構集中度特點(diǎn)的外包服務(wù)提供商提供充分的證據，證明其內部控制和管理能力、持續運營(yíng)能力等。

第五十五條 銀行業(yè)金融機構應當要求具有機構集中度特點(diǎn)的外包服務(wù)提供商為銀行業(yè)金融機構配備相對獨立的資源，包括服務(wù)團隊、場(chǎng)地、系統、設備等；并對資源進(jìn)行定期檢查，確保資源及時(shí)到位。

第五十六條 銀行業(yè)金融機構應當要求具有機構集中度特點(diǎn)的外包服務(wù)提供商在外包服務(wù)中斷應急預案中，明確外包服務(wù)的優(yōu)先級，并進(jìn)行服務(wù)中斷應急演練，服務(wù)提供商應當至少參與服務(wù)交接、敏感信息處置等演練過(guò)程。

第五十七條 銀行業(yè)金融機構應當特別加強對具有機構集中度特點(diǎn)的外包服務(wù)提供商的財務(wù)、內控、安全管理情況的持續監控，建立信息收集機制，及時(shí)掌握風(fēng)險事件情況，防范外包服務(wù)意外終止或服務(wù)質(zhì)量急劇下降對本機構產(chǎn)生大面積影響。

第五十八條 銀行業(yè)金融機構應當對具有機構集中度特點(diǎn)的外包服務(wù)提供商增強監督頻率與力度，必要時(shí)可指派專(zhuān)人進(jìn)行現場(chǎng)監督。

第五十九條 對于具有機構集中度特點(diǎn)的外包服務(wù)提供商為同業(yè)托管機構的情況，銀行業(yè)金融機構可參照本節內容對其進(jìn)行外包管理。

 

第六章 跨境及非駐場(chǎng)外包管理

第一節 跨境外包風(fēng)險管理


第六十條 跨境外包是指在境外其他國家或地區實(shí)施的信息科技外包服務(wù)活動(dòng)。

第六十一條 跨境外包除具有本指引前述風(fēng)險外，還包括由于某一國家或地區經(jīng)濟、政治、社會(huì )變化及事件而產(chǎn)生的國別風(fēng)險，及由于外包實(shí)施場(chǎng)地遠離銀行業(yè)金融機構而產(chǎn)生的非駐場(chǎng)風(fēng)險。

第六十二條 銀行業(yè)金融機構應當充分了解并持續監控服務(wù)提供商所在國家或地區狀況，通過(guò)建立業(yè)務(wù)連續性計劃防范跨境外包所帶來(lái)的國別風(fēng)險。

第六十三條 銀行業(yè)金融機構應當關(guān)注國外法律法規、監管要求對其獲取服務(wù)提供商外包管理信息可能造成的影響。實(shí)施跨境外包應當以不妨礙銀行業(yè)金融機構有效履行外包服務(wù)監控管理職能及監管機構延伸檢查為前提。

第六十四條 銀行業(yè)金融機構在選擇跨境外包時(shí)，應當明確其所在國家或地區監管當局已與銀監會(huì )簽訂諒解備忘錄或雙方認可的其他約定。

第六十五條 銀行業(yè)金融機構在選擇跨境外包時(shí)，還應當充分審查評估服務(wù)提供商保護客戶(hù)信息的能力，并將其作為選擇服務(wù)提供商的重要指標。涉及客戶(hù)信息的跨境外包，應當在符合監管法規政策并獲得客戶(hù)授權的前提下開(kāi)展。

第六十六條 銀行業(yè)金融機構在實(shí)施跨境外包時(shí)，其合同應當包括法律選擇和司法管轄權的約定，明確爭議解決時(shí)所適用的法律及司法管轄權，原則上應當要求服務(wù)提供商依照中國的法律解決糾紛。


第二節 非駐場(chǎng)外包風(fēng)險管理


第六十七條非駐場(chǎng)外包是指服務(wù)提供商不在銀行業(yè)金融機構現場(chǎng)提供服務(wù)的外包形式。由于銀行業(yè)金融機構不能對其內部控制及風(fēng)險管理措施進(jìn)行直接管控，應當在信息安全、知識產(chǎn)權保護、質(zhì)量監控、法律合規等方面加強對服務(wù)提供商的風(fēng)險管理。

第六十八條 銀行業(yè)金融機構應當建立針對非駐場(chǎng)外包服務(wù)的內部控制及風(fēng)險管理要求的最低標準，該標準應當作為選擇服務(wù)提供商的最低要求。

第六十九條 銀行業(yè)金融機構應當對重要的非駐場(chǎng)外包服務(wù)進(jìn)行實(shí)地檢查。實(shí)地檢查原則上一年不少于一次，檢查結果作為外包服務(wù)提供商項目考核及準入的重要指標。

第七十條 銀行業(yè)金融機構應當加強對外包服務(wù)提供商非駐場(chǎng)外包服務(wù)內部控制、質(zhì)量管理、信息安全的有效性評估，評估結果作為供應商準入的重要依據。對于高風(fēng)險的服務(wù)提供商，銀行業(yè)金融機構應當責令其進(jìn)行限期整改，對于逾期未改的服務(wù)提供商應當暫?；蛉∠浞?wù)資格。

第七十一條 對于非駐場(chǎng)外包服務(wù)提供商為同業(yè)托管機構的情況，銀行業(yè)金融機構可以參照本節內容對其進(jìn)行外包管理，但同業(yè)托管機構須將為其他同行業(yè)金融機構提供的信息科技外包服務(wù)視同自身信息科技服務(wù)的重要組成部分，不得區別對待，降低對自身提供外包服務(wù)的風(fēng)險管控水平。


 

第七章 銀行業(yè)重點(diǎn)外包服務(wù)機構風(fēng)險管理要求

第七十二條 銀行業(yè)重點(diǎn)外包服務(wù)機構是指集中為銀行業(yè)金融機構提供外包服務(wù)，同時(shí)滿(mǎn)足下述條件，如其外包服務(wù)失敗可能導致銀行業(yè)大面積數據損毀、丟失、泄露或信息系統服務(wù)中斷，造成經(jīng)濟損失的機構，具體條件如下：

(一)承擔集中存貯客戶(hù)數據的業(yè)務(wù)交易系統外包服務(wù)；或承擔銀行業(yè)金融機構客戶(hù)資料、交易數據等敏感信息的批量分析或處理服務(wù)；或承擔銀行業(yè)金融機構數據中心、災備中心機房及基礎設施外包服務(wù)；且上述服務(wù)均為非駐場(chǎng)外包服務(wù)。

(二)服務(wù)的法人銀行業(yè)金融機構數量、服務(wù)合同金額占有本服務(wù)領(lǐng)域市場(chǎng)份額的三分之一以上；或服務(wù)的跨區域經(jīng)營(yíng)法人銀行業(yè)金融機構數量達到3家或以上；或服務(wù)的其他類(lèi)型法人銀行業(yè)金融機構數量達到10家或以上。

第七十三條 銀行業(yè)金融機構應當根據監管機構發(fā)布的銀行業(yè)重點(diǎn)外包服務(wù)機構風(fēng)險提示，按照如下要求進(jìn)行管理：

(一)銀行業(yè)重點(diǎn)外包服務(wù)機構應當是中華人民共和國境內注冊的獨立法人實(shí)體，注冊資本和實(shí)收資本不少于1000萬(wàn)，注冊成立時(shí)間不少于3年。

(二)銀行業(yè)重點(diǎn)外包服務(wù)機構應當擁有健全的組織架構，并針對所提供的外包服務(wù)建立有效的風(fēng)險治理架構，至少應當建立由公司高級管理層直接領(lǐng)導、針對銀行業(yè)金融機構外包服務(wù)的、專(zhuān)職信息科技風(fēng)險管理團隊，為持續的外包服務(wù)提供保證。

(三)銀行業(yè)重點(diǎn)外包服務(wù)機構應當建立與所承擔的服務(wù)范圍和規模相適應的服務(wù)管理體系，建立完善的信息安全、服務(wù)質(zhì)量、服務(wù)持續性等管理制度體系，擁有有效的檢查、監控和考核機制，確保管理規范有效執行。

(四)銀行業(yè)重點(diǎn)外包服務(wù)機構應當具有足夠的技術(shù)能力、人力資源和設施、環(huán)境，滿(mǎn)足外包服務(wù)的質(zhì)量和安全管理要求。銀行業(yè)重點(diǎn)外包服務(wù)機構承擔的銀行業(yè)金融機構外包服務(wù)場(chǎng)地應當設置在中國境內。

第七十四條 銀行業(yè)金融機構應當要求銀行業(yè)重點(diǎn)外包服務(wù)機構具有如下相關(guān)領(lǐng)域資質(zhì)認證:

(一)具有完善的信息安全管理體系、業(yè)務(wù)連續性管理體系，并通過(guò)業(yè)界公認較為權威的信息安全管理和業(yè)務(wù)連續性管理資質(zhì)認證。

(二)具有完善的質(zhì)量管理體系，并通過(guò)業(yè)界公認較為權威的質(zhì)量管理資質(zhì)認證。

(三)承擔銀行業(yè)金融機構數據中心、災備中心機房及基礎設施外包服務(wù)的銀行業(yè)重點(diǎn)外包服務(wù)機構，其機房及基礎設施應當達到國家電子計算機機房最高標準。

(四)承擔集中存貯客戶(hù)數據的業(yè)務(wù)交易系統外包服務(wù)，或承擔銀行業(yè)金融機構客戶(hù)資料、交易數據等敏感信息的批量分析或處理服務(wù)的銀行業(yè)重點(diǎn)外包服務(wù)機構，應當具有完善的運行服務(wù)管理體系，并通過(guò)業(yè)界公認較為權威的運行服務(wù)管理資質(zhì)認證。

第七十五條 銀行業(yè)金融機構應當在風(fēng)險管理、審計方面對銀行業(yè)重點(diǎn)外包服務(wù)機構提出如下要求：

(一)銀行業(yè)重點(diǎn)外包服務(wù)機構應當具有信息科技風(fēng)險的管理體系，有效識別、監測、評估和控制風(fēng)險。銀行業(yè)重點(diǎn)外包服務(wù)機構應當至少每季度向所服務(wù)的銀行業(yè)金融機構報送外包風(fēng)險監控報告，針對監控發(fā)現的潛在風(fēng)險或風(fēng)險事件，及時(shí)采取控制或緩釋措施。

(二)銀行業(yè)重點(diǎn)外包服務(wù)機構應當每年聘請獨立的審計機構,對自身外包服務(wù)進(jìn)行風(fēng)險評估,年度風(fēng)險評估報告需報送所服務(wù)的銀行業(yè)金融機構，并抄送銀監會(huì )或其派出機構。

(三)銀行業(yè)重點(diǎn)外包服務(wù)機構應當對其外包服務(wù)團隊成員進(jìn)行背景調查，確保其過(guò)往無(wú)不良記錄，且應當與項目成員簽訂保密協(xié)議，并保留至少10年的法律追訴期。

 

第八章 監督管理

第七十六條 銀行業(yè)金融機構開(kāi)展以下信息科技外包服務(wù)時(shí),應當在外包合同簽訂前二十個(gè)工作日向銀監會(huì )或其派出機構報告，針對銀行業(yè)金融機構信息科技外包風(fēng)險，銀監會(huì )及其派出機構可以采取風(fēng)險提示、約見(jiàn)談話(huà)、監管質(zhì)詢(xún)等措施。

（一）信息科技工作整體外包；

（二）數據中心或災備中心整體外包；

（三）涉及將銀行業(yè)金融機構客戶(hù)資料、交易數據等敏感信息交由服務(wù)提供商進(jìn)行分析或處理的信息科技外包；

（四）以非駐場(chǎng)形式實(shí)施的、集中存貯客戶(hù)數據的業(yè)務(wù)交易系統外包；

（五）關(guān)聯(lián)外包；

（六）涉及跨境的信息科技外包；

（七）其他銀監會(huì )認為重要的信息科技外包。

第七十七條 銀行業(yè)金融機構信息科技外包活動(dòng)中發(fā)生如下重大事件時(shí)，應當在兩個(gè)工作日內向銀監會(huì )或其派出機構報告。

（一）銀行業(yè)金融機構客戶(hù)信息等敏感數據泄露；

（二）數據損毀或者重要業(yè)務(wù)運營(yíng)中斷；

（三）由于不可抗力或服務(wù)提供商重大經(jīng)營(yíng)、財務(wù)問(wèn)題，導致或可能導致多家銀行業(yè)金融機構外包服務(wù)中斷;

（四）其他重大的服務(wù)提供商違法違規事件；

（五）銀監會(huì )規定需要報告的其他重大事件。

第七十八條 銀行業(yè)金融機構在開(kāi)展年度外包風(fēng)險管理評估工作后，應當將年度風(fēng)險評估報告報送銀監會(huì )或其派出機構。

第七十九條 銀監會(huì )及其派出機構對銀行業(yè)金融機構信息科技外包工作進(jìn)行監督和檢查，監督檢查結果納入對銀行業(yè)金融機構的監管評級。

第八十條 對于風(fēng)險較高的信息科技外包服務(wù)，銀監會(huì )或其派出機構可以要求銀行業(yè)金融機構暫緩、中止該類(lèi)外包服務(wù)，直至銀行業(yè)金融機構、外包服務(wù)提供商有效改正。

第八十一條 銀行業(yè)金融機構違反本指引規定的，銀監會(huì )或其派出機構可要求其糾正或采取替代方案，并視情況予以問(wèn)責。因管理過(guò)失導致外包活動(dòng)嚴重危及銀行業(yè)金融機構穩健運行、損害存款人和其他客戶(hù)合法權益的，依法追究銀行業(yè)金融機構管理責任。

第八十二條 銀監會(huì )實(shí)行銀行業(yè)信息科技外包服務(wù)活動(dòng)風(fēng)險監測機制，定期對銀行業(yè)金融機構發(fā)布銀行業(yè)重點(diǎn)外包服務(wù)機構名單和風(fēng)險提示，防范因高機構集中度外包服務(wù)導致的系統性、區域性信息科技風(fēng)險。

第八十三條 銀監會(huì )應當對具有機構集中度特點(diǎn)的銀行業(yè)金融機構信息科技外包服務(wù)進(jìn)行重點(diǎn)風(fēng)險監測、評估，根據需要，可以要求銀行業(yè)金融機構與重點(diǎn)外包服務(wù)機構會(huì )談，就其外包服務(wù)活動(dòng)和風(fēng)險的重大事項作出說(shuō)明。

第八十四條 銀監會(huì )應當組織銀行業(yè)金融機構實(shí)地核查銀行業(yè)重點(diǎn)外包服務(wù)機構承擔的銀行業(yè)金融機構信息科技服務(wù)活動(dòng)，原則上每?jì)赡赀M(jìn)行一次，也可以委托其他第三方機構審計的形式實(shí)施。

第八十五條 銀監會(huì )可以根據銀行業(yè)金融機構信息科技服務(wù)活動(dòng)風(fēng)險評估和實(shí)地核查結果，對銀行業(yè)金融機構發(fā)出監管提示，要求其督促銀行業(yè)重點(diǎn)外包服務(wù)機構對風(fēng)險問(wèn)題實(shí)施整改。

第八十六條 銀行業(yè)重點(diǎn)外包服務(wù)機構應當配合銀行業(yè)金融機構及銀監會(huì )的風(fēng)險監測和實(shí)地核查。

第八十七條 銀監會(huì )組織相關(guān)銀行業(yè)金融機構對銀行業(yè)信息科技外包服務(wù)提供商建立服務(wù)管理記錄，并對其進(jìn)行風(fēng)險評估和評級。

第八十八條 服務(wù)提供商在外包服務(wù)中存在以下情形的，銀監會(huì )定期向銀行業(yè)發(fā)布服務(wù)提供商風(fēng)險預警，公布機構名單、服務(wù)信息等，要求銀行業(yè)金融機構禁止相關(guān)服務(wù)提供商承擔銀行業(yè)信息科技外包服務(wù)，禁止期至少為兩年。外包服務(wù)提供商兩年內仍未整改的，延長(cháng)其禁止期。

（一）違反國家法律、法規和監管政策，情節嚴重的；

（二）竊取、泄露銀行業(yè)金融機構敏感信息，情節嚴重的；

（三）因管理過(guò)失，多次發(fā)生重要信息系統服務(wù)中斷或數據損毀、丟失、泄露事件的；

（四）服務(wù)質(zhì)量低下并給多家銀行業(yè)金融機構造成損失，多次提示仍未整改的；

（五）對風(fēng)險監測和實(shí)地檢查發(fā)現的問(wèn)題，逾期仍未整改的；

（六）存在其他違法違規行為，或發(fā)生其他重大信息科技風(fēng)險事件的。

第八十九條 銀監會(huì )負責監督銀行業(yè)金融機構對信息科技外包服務(wù)提供商實(shí)施準入管理。對于存在重大風(fēng)險的外包活動(dòng)，銀行業(yè)金融機構應當立即評估外包的適當性，對信息科技外包服務(wù)提供商進(jìn)行風(fēng)險預警提示，要求其進(jìn)行整改并設定期限；逾期未整改的，禁止其承擔信息科技外包服務(wù)。

第九章 附則

第九十條 本指引由銀監會(huì )負責解釋、修訂。

第九十一條 本指引自公布之日起施行。

掃描二維碼 關(guān)注我們

本文鏈接：http://jumpstarthappiness.com/feizhi/126551.html

本文關(guān)鍵詞： 銀監發(fā), 中國銀監會(huì ), 銀行業(yè), 金融機構, 信息, 科技, 外包, 風(fēng)險, 監管, 指引, 通知, 全文廢止