商業銀行信息科技風險管理指引

第一章 總 則



第一條 爲增強商業銀行信息科技風險管理，根據《×××銀行業監督管理法》、《×××商業銀行法》、《×××外資銀行管理條例》，以及國家信息安全相關要求和有關法律法規，制定本指引。?

第二條 本指引適用於在×××境內依法設立的法人商業銀行。?

政策性銀行、農村合做銀行、城市信用社、農村信用社、村鎮銀行、貸款公司、金融資產管理公司、信託公司、財務公司、金融租賃公司、汽車金融公司、貨幣經紀公司等其餘銀行業金融機構參照執行。?

第三條 本指引所稱信息科技是指計算機、通訊、微電子和軟件工程等現代信息技術，在商業銀行業務交易處理、經營管理和內部控制等方面的應用，幷包括進行信息科技治理，創建完整的管理組織架構，制訂完善的管理制度和流程。?

第四條 本指引所稱信息科技風險，是指信息科技在商業銀行運用過程當中，因爲天然因素、人爲因素、技術漏洞和管理缺陷產生的操做、法律和聲譽等風險。

第五條 信息科技風險管理的目標是經過創建有效的機制，實現對商業銀行信息科技風險的識別、計量、監測和控制，促進商業銀行安全、持續、穩健運行，推進業務創新，提升信息技術使用水平，加強核心競爭力和可持續發展能力。



第二章 信息科技治理??



第六條 商業銀行法定表明人是本機構信息科技風險管理的第一責任人，負責組織本指引的貫徹落實。?

第七條 商業銀行的董事會應履行如下信息科技管理職責：

（一） 遵照並貫徹執行國家有關信息科技管理的法律、法規和技術標準，落實中國銀行業監督管理委員會（如下簡稱銀監會）相關監管要求。?

（二） 審查批准信息科技戰略，確保其與銀行的整體業務戰略和重大策略相一致。評估信息科技及其風險管理工做的整體效果和效率。?

（三） 掌握主要的信息科技風險，肯定可接受的風險級別，確保相關風險可以被識別、計量、監測和控制。?

（四） 規範職業道德行爲和廉潔標準，加強內部文化建設，提升全體人員對信息科技風險管理重要性的認識。?

（五） 設立一個由來自高級管理層、信息科技部門和主要業務部門的表明組成的專門信息科技管理委員會，負責監督各項職責的落實，按期向董事會和高級管理層彙報信息科技戰略規劃的執行、信息科技預算和實際支出、信息科技的總體情況。?

（六） 在創建良好的公司治理的基礎上進行信息科技治理，造成分工合理、職責明確、相互制衡、報告關係清晰的信息科技治理組織結構。增強信息科技專業隊伍的建設，創建人才激勵機制。?

（七） 確保內部審計部門進行獨立有效的信息科技風險管理審計，對審計報告進行確認並落實整改。?

（八） 每一年審閱並向銀監會及其派出機構報送信息科技風險管理的年度報告。?

（九） 確保信息科技風險管理工做所需資金。?

（十） 確保銀行全部員工充分理解和遵照經其批准的信息科技風險管理制度和流程，並安排相關培訓。?

（十一） 確保本法人機構涉及客戶信息、帳務信息以及產品信息等的核心繫統在中國境內獨立運行，並保持最高的管理權限，符合銀監會監管和實施現場檢查的要求，防範跨境風險。?

（十二） 及時向銀監會及其派出機構報告本機構發生的重大信息科技事故或突發事件，按相關預案快速響應。?

（十三） 配合銀監會及其派出機構作好信息科技風險監督檢查工做，並按照監管意見進行整改。?

（十四） 履行信息科技風險管理其餘相關工做。?

第八條 商業銀行應設立首席信息官，直接向行長彙報，並參與決策。首席信息官的職責包括：?

（一） 直接參與本銀行與信息科技運用有關的業務發展決策。?

（二） 確保信息科技戰略，尤爲是信息系統開發戰略，符合本銀行的整體業務戰略和信息科技風險管理策略。?

（三） 負責創建一個切實有效的信息科技部門，承擔本銀行的信息科技職責。確保其履行：信息科技預算和支出、信息科技策略、標準和流程、信息科技內部控制、專業化研發、信息科技項目發起和管理、信息系統和信息科技基礎設施的運行、維護和升級、信息安全管理、災難恢復計劃、信息科技外包和信息系統退出等職責。?

（四） 確保信息科技風險管理的有效性，並使有關管理措施落實到相關的每個內設機構和分支機構。?

（五） 組織專業培訓，提升人才隊伍的專業技能。?

（六） 履行信息科技風險管理其餘相關工做。?

第九條 商業銀行應對信息科技部門內部管理職責進行明確的界定；各崗位的人員應具備相應的專業知識和技能，重要崗位應制定詳細完整的工做手冊並適時更新。對相關人員應採起下列風險防範措施：?

（一） 驗證我的信息，包括覈驗有效×××件、學歷證實、工做經歷和專業資格證書等信息。?

（二） 審覈信息科技員工的道德品行，確保其具有相應的職業操守。?

（三） 確保員工瞭解、遵照信息科技策略、指導原則、信息保密、受權使用信息系統、信息科技管理制度和流程等要求，並同員工簽定相關協議。?

（四） 評估關鍵崗位信息科技員工流失帶來的風險，作好安排候補員工和崗位接替計劃等防範措施；在員工崗位發生變化後及時變動相關信息。?

第十條 商業銀行應設立或指派一個特定部門負責信息科技風險管理工做，並直接向首席信息官或首席風險官（風險管理委員會）報告工做。該部門應爲信息科技突發事件應急響應小組的成員之一，負責協調製定有關信息科技風險管理策略，尤爲是在涉及信息安全、業務連續性計劃和合規性風險等方面，爲業務部門和信息科技部門提供建議及相關合規性信息，實施持續信息科技風險評估，跟蹤整改意見的落實，監控信息安全威脅和不合規事件的發生。?

第十一條 商業銀行應在內部審計部門設立專門的信息科技風險審計崗位，負責信息科技審計制度和流程的實施，制訂和執行信息科技審計計劃，對信息科技整個生命週期和重大事件等進行審計。?

第十二條 商業銀行應按照知識產權相關法律法規，制定本機構信息科技知識產權保護策略和制度，並使全部員工充分理解並遵守執行。確保購買和使用合法的軟硬件產品，禁止侵權盜版；採起有效措施保護本機構自主知識產權。?

第十三條 商業銀行應依據有關法律法規的要求，規範和及時披露信息科技風險情況。??



第三章 信息科技風險管理??



第十四條 商業銀行應制定符合銀行整體業務規劃的信息科技戰略、信息科技運行計劃和信息科技風險評估計劃，確保配置足夠人力、財力資源，維持穩定、安全的信息科技環境。?

第十五條 商業銀行應制定全面的信息科技風險管理策略，包括但不限於下述領域：?

（一） 信息分級與保護。?

（二） 信息系統開發、測試和維護。?

（三） 信息科技運行和維護。?

（四） 訪問控制。?

（五） 物理安全。?

（六） 人員安全。?

（七） 業務連續性計劃與應急處置。?

第十六條 商業銀行應制定持續的風險識別和評估流程，肯定信息科技中存在隱患的區域，評價風險對其業務的潛在影響，對風險進行排序，並肯定風險防範措施及所需資源的優先級別（包括外包供應商、產品供應商和服務商）。?

第十七條 商業銀行應依據信息科技風險管理策略和風險評估結果，實施全面的風險防範措施。防範措施應包括：?

（一） 制定明確的信息科技風險管理制度、技術標準和操做規程等，按期進行更新和公示。?

（二） 肯定潛在風險區域，並對這些區域進行詳細和獨立的監控，實現風險最小化。創建適當的控制框架，以便於檢查和平衡風險；定義每一個業務級別的控制內容，包括：?

1. 最高權限用戶的審查。?

2. 控制對數據和系統的物理和邏輯訪問。?

3. 訪問受權以「必需知道」和「最小受權」爲原則。?

4. 審批和受權。?

5. 驗證和調節。?

第十八條 商業銀行應創建持續的信息科技風險計量和監測機制，其中應包括：?

（一） 創建信息科技項目實施前及實施後的評價機制。?

（二） 創建按期檢查系統性能的程序和標準。?

（三） 創建信息科技服務投訴和事故處理的報告機制。?

（四） 創建內部審計、外部審計和監管發現問題的整改處理機制。?

（五） 安排供應商和業務部門對服務水平協議的完成狀況進行按期審查。?

（六） 按期評估新技術發展可能形成的影響和已使用軟件面臨的新威脅。?

（七） 按期進行運行環境下操做風險和管理控制的檢查。?

（八） 按期進行信息科技外包項目的風險情況評價。?

第十九條 中資商業銀行在境外設立的機構及境內的外資商業銀行，應當遵照境內外監管機構關於信息科技風險管理的要求，並防範因監管差別所形成的風險。??



第四章 信息安全??



第二十條 商業銀行信息科技部門負責創建和實施信息分類和保護體系，商業銀行應使全部員工都瞭解信息安全的重要性，並組織提供必要的培訓，讓員工充分了解其職責範圍內的信息保護流程。

第二十一條 商業銀行信息科技部門應落實信息安全管理職能。該職能應包括創建信息安全計劃和保持長效的管理機制，提升全體員工信息安全意識，就安全問題向其餘部門提供建議，並按期向信息科技管理委員會提交本銀行信息安全評估報告。信息安全管理機制應包括信息安全標準、策略、實施計劃和持續維護計劃。?

信息安全策略應涉及如下領域：?

（一） 安全制度管理。?

（二） 信息安全組織管理。?

（三） 資產管理。?



（四） 人員安全管理。?

（五） 物理與環境安全管理。?

（六） 通訊與運營管理。?

（七） 訪問控制管理。?

（八） 系統開發與維護管理。?

（九） 信息安全事故管理。?

（十） 業務連續性管理。?

（十一） 合規性管理。?

第二十二條 商業銀行應創建有效管理用戶認證和訪問控制的流程。用戶對數據和系統的訪問必須選擇與信息訪問級別相匹配的認證機制，而且確保其在信息系統內的活動只限於相關業務能合法開展所要求的最低限度。用戶調動到新的工做崗位或離開商業銀行時，應在系統中及時檢查、更新或註銷用戶身份。?

第二十三條 商業銀行應確保設立物理安全保護區域，包括計算機中心或數據中心、存儲機密信息或放置網絡設備等重要信息科技設備的區域，明確相應的職責，採起必要的預防、檢測和恢復控制措施。?

第二十四條 商業銀行應根據信息安全級別，將網絡劃分爲不一樣的邏輯安全域（如下簡稱爲域）。應該對下列安全因素進行評估，並根據安全級別定義和評估結果實施有效的安全控制，如對每一個域和整個網絡進行物理或邏輯分區、實現網絡內容過濾、邏輯訪問控制、傳輸加密、網絡監控、記錄活動日誌等。?

（一） 域內應用程序和用戶組的重要程度。?

（二） 各類通信渠道進入域的訪問點。?

（三） 域內配置的網絡設備和應用程序使用的網絡協議和端口。?

（四） 性能要求或標準。?

（五） 域的性質，如生產域或測試域、內部域或外部域。?

（六） 不一樣域之間的連通性。?

（七） 域的可信程度。?

第二十五條 商業銀行應經過如下措施，確保全部計算機操做系統和系統軟件的安全：?

（一） 制定每種類型操做系統的基本安全要求，確保全部系統知足基本安全要求。?

（二） 明肯定義包括終端用戶、系統開發人員、系統測試人員、計算機操做人員、系統管理員和用戶管理員等不一樣用戶組的訪問權限。?

（三） 制定最高權限系統帳戶的審批、驗證和監控流程，並確保最高權限用戶的操做日誌被記錄和監察。?

（四） 要求技術人員按期檢查可用的安全補丁，並報告補丁管理狀態。?

（五） 在系統日誌中記錄不成功的登陸、重要系統文件的訪問、對用戶帳戶的修改等有關重要事項，手動或自動監控系統出現的任何異常事件，按期彙報監控狀況。?

第二十六條 商業銀行應經過如下措施，確保全部信息系統的安全：?

（一） 明肯定義終端用戶和信息科技技術人員在信息系統安全中的角色和職責。?

（二） 針對信息系統的重要性和敏感程度，採起有效的身份驗證方法。?

（三） 增強職責劃分，對關鍵或敏感崗位進行雙重控制。?

（四） 在關鍵的接合點進行輸入驗證或輸出覈對。?

（五） 採起安全的方式處理保密信息的輸入和輸出，防止信息泄露或被盜取、篡改。?

（六） 確保系統按預先定義的方式處理例外狀況，當系統被迫終止時向用戶提供必要信息。?

（七） 以書面或電子格式保存審計痕跡。?

（八） 要求用戶管理員監控和審查未成功的登陸和用戶帳戶的修改。?

第二十七條 商業銀行應制定相關策略和流程，管理全部生產系統的活動日誌，以支持有效的審覈、安全取證分析和預防欺詐。日誌能夠在軟件的不一樣層次、不一樣的計算機和網絡設備上完成，日誌劃分爲兩大類：?

（一） 交易日誌。交易日誌由應用軟件和數據庫管理系統產生，內容包括用戶登陸嘗試、數據修改、錯誤信息等。交易日誌應按照國家會計準則要求予以保存。?

（二） 系統日誌。系統日誌由操做系統、數據庫管理系統、防火牆、***檢測系統和路由器等生成，內容包括管理登陸嘗試、系統事件、網絡事件、錯誤信息等。系統日誌保存期限按系統的風險等級肯定，但不能少於一年。?

商業銀行應保證交易日誌和系統日誌中包含足夠的內容，以便完成有效的內部控制、解決系統故障和知足審計須要；應採起適當措施保證全部日誌同步計時，並確保其完整性。在例外狀況發生後應及時複查系統日誌。交易日誌或系統日誌的複查頻率和保存週期應由信息科技部門和有關業務部門共同決定，並報信息科技管理委員會批准。?

第二十八條 商業銀行應採起加密技術，防範涉密信息在傳輸、處理、存儲過程當中出現泄露或被篡改的風險，並創建密碼設備管理制度，以確保：?

（一） 使用符合國家要求的加密技術和加密設備。?

（二） 管理、使用密碼設備的員工通過專業培訓和嚴格審查。

（三） 加密強度知足信息機密性的要求。?

（四） 制定並落實有效的管理流程，尤爲是密鑰和證書生命週期管理。?

第二十九條 商業銀行應配備切實有效的系統，確保全部終端用戶設備的安全，並按期對全部設備進行安全檢查，包括臺式我的計算機（PC）、便攜式計算機、櫃員終端、自動櫃員機（ATM）、存摺打印機、讀卡器、銷售終端（POS）和我的數字助理（PDA）等。?

第三十條 商業銀行應制定相關制度和流程，嚴格管理客戶信息的採集、處理、存貯、傳輸、分發、備份、恢復、清理和銷燬。

第三十一條 商業銀行應對全部員工進行必要的培訓，使其充分掌握信息科技風險管理制度和流程，瞭解違反規定的後果，並對違反安全規定的行爲採起零容忍政策。??



第五章 信息系統開發、測試和維護??



第三十二條 商業銀行應有能力對信息系統進行需求分析、規劃、採購、開發、測試、部署、維護、升級和報廢，制定制度和流程，管理信息科技項目的優先排序、立項、審批和控制。項目實施部門應按期向信息科技管理委員會提交重大信息科技項目的進度報告，由其進行審覈，進度報告應當包括計劃的重大變動、關鍵人員或供應商的變動以及主要費用支出狀況。應在信息系統投產後必定時期內，組織對系統的後評價，並根據評價結果及時對系統功能進行調整和優化。?

第三十三條 商業銀行應認識到信息科技項目相關的風險，包括潛在的各類操做風險、財務損失風險和因無效項目規劃或不適當的項目管理控制產生的機會成本，並採起適當的項目管理方法，控制信息科技項目相關的風險。?

第三十四條 商業銀行應採起適當的系統開發方法，控制信息系統的生命週期。典型的系統生命週期包括系統分析、設計、開發或外購、測試、試運行、部署、維護和退出。所採用的系統開發方法應符合信息科技項目的規模、性質和複雜度。?

第三十五條 商業銀行應制定相關控制信息系統變動的制度和流程，確保系統的可靠性、完整性和可維護性，其中應包括如下要求：?

（一） 生產系統與開發系統、測試系統有效隔離。?

（二） 生產系統與開發系統、測試系統的管理職能相分離。

（三） 除獲得管理層批准執行緊急修復任務外，禁止應用程序開發和維護人員進入生產系統，且全部的緊急修復活動都應當即進行記錄和審覈。?

（四） 將完成開發和測試環境的程序或系統配置變動應用到生產系統時，應獲得信息科技部門和業務部門的聯合批准，並對變動進行及時記錄和按期複查。?

第三十六條 商業銀行應制定並落實相關制度、標準和流程，確保信息系統開發、測試、維護過程當中數據的完整性、保密性和可用性。?

第三十七條 商業銀行應創建並完善有效的問題管理流程，以確保全面地追蹤、分析和解決信息系統問題，並對問題進行記錄、分類和索引；如需供應商提供支持服務或技術援助，應向相關人員提供所需的合同和相關信息，並將過程記錄在案；對完成緊急恢復起相當重要做用的任務和指令集，應有清晰的描述和說明，並通知相關人員。?

第三十八條 商業銀行應制定相關制度和流程，控制系統升級過程。當設備達到預期使用壽命或性能不能知足業務需求，基礎軟件（操做系統、數據庫管理系統、中間件）或應用軟件必須升級時，應及時進行系統升級，並將該類升級活動歸入信息科技項目，接受相關的管理和控制，包括用戶驗收測試。??



第六章 信息科技運行??



第三十九條 商業銀行在選擇數據中心的地理位置時，應充分考慮環境威脅（如是否接近天然災害多發區、危險或有害設施、繁忙或主要公路），採起物理控制措施，監控對信息處理設備運行構成威脅的環境情況，並防止因意外斷電或供電干擾影響數據中心的正常運行。?

第四十條 商業銀行應嚴格控制第三方人員（如服務供應商）進入安全區域，如確需進入應獲得適當的批准，其活動也應受到監控；針對長期或臨時聘用的技術人員和承包商，尤爲是從事敏感性技術相關工做的人員，應制定嚴格的審查程序，包括身份驗證和背景調查。?

第四十一條 商業銀行應將信息科技運行與系統開發和維護分離，確保信息科技部門內部的崗位制約；對數據中心的崗位和職責作出明確規定。?

第四十二條 商業銀行應按照有關法律法規要求保存交易記錄，採起必要的程序和技術，確保存檔數據的完整性，知足安全保存和可恢復要求。?

第四十三條 商業銀行應制定詳盡的信息科技運行操做說明。如在信息科技運行手冊中說明計算機操做人員的任務、工做日程、執行步驟，以及生產與開發環境中數據、軟件的現場及非現場備份流程和要求（即備份的頻率、範圍和保留週期）。?

第四十四條 商業銀行應創建事故管理及處置機制，及時響應信息系統運行事故，逐級向相關的信息科技管理人員報告事故的發生，並進行記錄、分析和跟蹤，直到完成完全的處置和根本緣由分析。商業銀行應創建服務檯，爲用戶提供相關技術問題的在線支持，並將問題提交給相關信息科技部門進行調查和解決。

第四十五條 商業銀行應創建服務水平管理相關的制度和流程，對信息科技運行服務水平進行考覈。?

第四十六條 商業銀行應創建連續監控信息系統性能的相關程序，及時、完整地報告例外狀況；該程序應提供預警功能，在例外狀況對系統性能形成影響前對其進行識別和修正。?

第四十七條 商業銀行應制定容量規劃，以適應因爲外部環境變化產生的業務發展和交易量增加。容量規劃應涵蓋生產系統、備份系統及相關設備。?

第四十八條 商業銀行應及時進行維護和適當的系統升級，以確保與技術相關服務的連續可用性，並完整保存記錄（包括疑似和實際的故障、預防性和補救性維護記錄），以確保有效維護設備和設施。?

第四十九條 商業銀行應制定有效的變動管理流程，以確保生產環境的完整性和可靠性。包括緊急變動在內的全部變動都應記入日誌，由信息科技部門和業務部門共同審覈簽字，並事先進行備份,以便必要時能夠恢復原來的系統版本和數據文件。緊急變動成功後,應經過正常的驗收測試和變動管理流程,採用恰當的修正以取代緊急變動。??



第七章 業務連續性管理??



第五十條 商業銀行應根據自身業務的性質、規模和複雜程度制定適當的業務連續性規劃，以確保在出現沒法預見的中斷時，系統仍能持續運行並提供服務；按期對規劃進行更新和演練，以保證其有效性。?

第五十一條 商業銀行應評估因意外事件致使其業務運行中斷的可能性及其影響，包括評估可能由下述緣由致使的破壞：?

（一） 內外部資源的故障或缺失（如人員、系統或其餘資產）。

（二） 信息丟失或受損。?

（三） 外部事件（如戰爭、地震或颱風等）。?

第五十二條 商業銀行應採起系統恢復和雙機熱備處理等措施下降業務中斷的可能性，並經過應急安排和保險等方式下降影響。?

第五十三條 商業銀行應創建維持其運營連續性策略的文檔，並制定對策略的充分性和有效性進行檢查和溝通的計劃。其中包括：

（一）規範的業務連續性計劃,明確下降短時間、中期和長期中斷所形成影響的措施，包括但不限於:?

1．資源需求（如人員、系統和其餘資產）以及獲取資源的方式。

2．運行恢復的優先順序。?

3．與內部各部門及外部相關各方（尤爲是監管機構、客戶和媒體等）的溝通安排。?

（二）更新實施業務連續性計劃的流程及相關聯繫信息。?

（三）驗證受中斷影響的信息完整性的步驟。?

（四）當商業銀行的業務或風險情況發生變化時，對本條（一）到（三）進行審覈並升級。?

第五十四條 商業銀行的業務連續性計劃和年度應急演練結果應由信息科技風險管理部門或信息科技管理委員會確認。??



第八章 外 包??



第五十五條 商業銀行不得將其信息科技管理責任外包，應合理謹慎監督外包職能的履行。?

第五十六條 商業銀行實施重要外包（如數據中心和信息科技基礎設施等)應格外謹慎，在準備實施重要外包時應以書面材料正式報告銀監會或其派出機構。?

第五十七條 商業銀行在簽署外包協議或對外包協議進行重大變動前，應作好相關準備，其中包括：?

（一） 分析外包是否適合商業銀行的組織結構和報告路線、業務戰略、整體風險控制，是否知足商業銀行履行對外包服務商的監督義務。?

（二） 考慮外包協議是否容許商業銀行監測和控制與外包相關的操做風險。?

（三） 充分審查、評估外包服務商的財務穩定性和專業經驗，對外包服務商進行風險評估，考查其設施和能力是否足以承擔相應的責任。?

（四） 考慮外包協議變動先後實施的平穩過渡（包括終止合同可能發生的狀況）。?

（五） 關注可能存在的集中風險，如多家商業銀行共用同一外包服務商帶來的潛在業務連續性風險。?

第五十八條 商業銀行在與外包服務商合同談判過程當中，應考慮的因素包括但不限於：?

（一） 對外包服務商的報告要求和談判必要條件。?

（二） 銀行業監管機構和內部審計、外部審計能執行足夠的監督。?

（三） 經過界定信息全部權、簽署保密協議和採起技術防禦措施保護客戶信息和其餘信息。?

（四） 擔保和損失賠償是否充足。?

（五） 外包服務商遵照商業銀行有關信息科技風險制度和流程的意願及相關措施。?

（六） 外包服務商提供的業務連續性保障水平，以及提供相關專屬資源的承諾。?

（七） 第三方供應商出現問題時，保證軟件持續可用的相關措施。?

（八） 變動外包協議的流程，以及商業銀行或外包服務商選擇變動或終止外包協議的條件，例如：?

1. 商業銀行或外包服務商的全部權或控制權發生變化。?

2. 商業銀行或外包服務商的業務經營發生重大變化。?

3. 外包服務商提供的服務不充分，形成商業銀行不能履行監督義務。?

第五十九條 商業銀行在實施雙方關係管理，以及起草服務水平協議時，應考慮的因素包括但不限於：?

（一） 提出定性和定量的績效指標，評估外包服務商爲商業銀行及其相關客戶提供服務的充分性。?

（二） 經過服務水平報告、按期自我評估、內部或外部獨立審計進行績效考覈。?

（三） 針對績效不達標的狀況調整流程，採起整改措施。?

第六十條 商業銀行應增強信息科技相關外包管理工做，確保商業銀行的客戶資料等敏感信息的安全，包括但不限於採起如下措施：?

（一） 實現本×××資料與外包服務商其餘客戶資料的有效隔離。?

（二） 按照「必需知道」和「最小受權」原則對外包服務商相關人員受權。?

（三） 要求外包服務商保證其相關人員遵照保密規定。?

（四） 應將涉及本×××資料的外包做爲重要外包，並告知相關客戶。?

（五） 嚴格控制外包服務商再次對外轉包，採起足夠措施確保商業銀行相關信息的安全。?

（六） 確保在停止外包協議時收回或銷燬外包服務商保存的全部客戶資料。?

第六十一條 商業銀行應創建恰當的應急措施，應對外包服務商在服務中可能出現的重大缺失。尤爲須要考慮外包服務商的重大資源損失，重大財務損失和重要人員的變更，以及外包協議的意外終止。?

第六十二條 商業銀行全部信息科技外包合同應由信息科技風險管理部門、法律部門和信息科技管理委員會審覈經過。商業銀行應設立流程按期審閱和修訂服務水平協議。??

??

第九章 內部審計??



第六十三條 商業銀行內部審計部門應根據業務的性質、規模和複雜程度，對相關係統及其控制的適當性和有效性進行監測。內部審計部門應配備足夠的資源和具備專業能力的信息科技審計人員，獨立於本銀行的平常活動，具備適當的受權訪問本銀行的記錄。?

第六十四條 商業銀行內部信息科技審計的責任包括：?

（一） 制定、實施和調整審計計劃，檢查和評估商業銀行信息科技系統和內控機制的充分性和有效性。?

（二） 按照第（一）款規定完成審計工做，在此基礎上提出整改意見。?

（三） 檢查整改意見是否獲得落實。?

（四） 執行信息科技專項審計。信息科技專項審計，是指對信息科技安全事故進行的調查、分析和評估，或審計部門根據風險評估結果對認爲必要的特殊事項進行的審計。?

第六十五條 商業銀行應根據業務性質、規模和複雜程度，信息科技應用狀況，以及信息科技風險評估結果，決定信息科技內部審計範圍和頻率。但至少應每三年進行一次全面審計。?

第六十六條 商業銀行在進行大規模系統開發時，應要求信息科技風險管理部門和內部審計部門參與，保證系統開發符合本銀行信息科技風險管理標準。??



第十章 外部審計??



第六十七條 商業銀行能夠在符合法律、法規和監管要求的狀況下，委託具有相應資質的外部審計機構進行信息科技外部審計。?

第六十八條 在委託審計過程當中，商業銀行應確保外部審計機構可以對本銀行的硬件、軟件、文檔和數據進行檢查，以發現信息科技存在的風險，國家法律、法規及監管部門規章、規範性文件規定的重要商業、技術保密信息除外。?

第六十九條 商業銀行在實施外部審計前應與外部審計機構進行充分溝通，詳細肯定審計範圍，不該故意隱瞞事實或阻撓審計檢查。?

第七十條 銀監會及其派出機構必要時可指定具有相應資質的外部審計機構對商業銀行執行信息科技審計或相關檢查。外部審計機構根據銀監會或其派出機構的委託或受權對商業銀行進行審計時，應出示委託受權書，並依照委託受權書上規定的範圍進行審計。?

第七十一條 外部審計機構根據受權出具的審計報告，經銀監會及其派出機構審閱批准後具備與銀監會及其派出機構出具的檢查報告同等的效力，被審計的商業銀行應根據該審計報告提出整改計劃，並在規定的時間內實施整改。?

第七十二條 商業銀行在委託外部審計機構進行外部審計時，應與其簽定保密協議，並督促其嚴格遵照法律法規，保守本銀行的商業祕密和信息科技風險信息，防止其擅自對本銀行提供的任何文件進行修改、複製或帶離現場。??



第十一章 附 則??



第七十三條 未設董事會的商業銀行，應當由其經營決策機構履行本指引中董事會的有關信息科技風險管理職責。?

第七十四條 銀監會依法對商業銀行的信息科技風險管理實施監督檢查。?

第七十五條 本指引由銀監會負責解釋、修訂。?

第七十六條 本指引自頒佈之日起施行，《銀行業金融機構信息系統風險管理指引》（銀監發〔2006〕63號）同時廢止。



附件信息：