下载文档原格式
中国银行业监督管理委员会关于印发《商业银行信息科技风险管理指引》的通知文章属性•【制定机关】中国银行业监督管理委员会(已撤销)•【公布日期】2009.03.03•【文号】银监发[2009]19号•【施行日期】2009.03.03•【效力等级】部门规范性文件•【时效性】现行有效•【主题分类】银行业监督管理正文中国银行业监督管理委员会关于印发《商业银行信息科技风险管理指引》的通知（银监发[2009]19号）各银监局，各政策性银行、国有商业银行、股份制商业银行、金融资产管理公司，邮政储蓄银行，各省级农村信用联社，银监会直接监管的信托公司、财务公司、金融租赁公司，中央国债登记结算公司：现将《商业银行信息科技风险管理指引》印发给你们，请认真执行。
请各银监局将本通知转发至辖内各银行业金融机构（含外资银行）。
中国银行业监督管理委员会二00九年三月三日商业银行信息科技风险管理指引第一章总则第一条为加强商业银行信息科技风险管理，根据《中华人民共和国银行业监督管理法》、《中华人民共和国商业银行法》、《中华人民共和国外资银行管理条例》，以及国家信息安全相关要求和有关法律法规，制定本指引。
第二条本指引适用于在中华人民共和国境内依法设立的法人商业银行。
政策性银行、农村合作银行、城市信用社、农村信用社、村镇银行、贷款公司、金融资产管理公司、信托公司、财务公司、金融租赁公司、汽车金融公司、货币经纪公司等其他银行业金融机构参照执行。
第三条本指引所称信息科技是指计算机、通信、微电子和软件工程等现代信息技术，在商业银行业务交易处理、经营管理和内部控制等方面的应用，并包括进行信息科技治理，建立完整的管理组织架构，制订完善的管理制度和流程。
第四条本指引所称信息科技风险，是指信息科技在商业银行运用过程中，由于自然因素、人为因素、技术漏洞和管理缺陷产生的操作、法律和声誉等风险。
第五条信息科技风险管理的目标是通过建立有效的机制，实现对商业银行信息科技风险的识别、计量、监测和控制，促进商业银行安全、持续、稳健运行，推动业务创新，提高信息技术使用水平，增强核心竞争力和可持续发展能力。
商业银行信息科技风险管理指引第一章总则 (2)第二章信息科技治理 (3)第三章信息科技风险管理 (7)第四章信息安全 (10)第五章信息系统开发、测试和维护 (16)第六章信息科技运行 (19)第七章业务连续性管理 (21)第八章外包 (23)第九章内部审计 (27)第十章外部审计 (28)第十一章附则 (29)第一章总则第一条为加强商业银行信息科技风险管理，根据《中华人民共和国银行业监督管理法》、《中华人民共和国商业银行法》、《中华人民共和国外资银行管理条例》，以及国家信息安全相关要求和有关法律法规，制定本指引。
第二条本指引适用于在中华人民共和国境内依法设立的法人商业银行。
政策性银行、农村合作银行、城市信用社、农村信用社、村镇银行、贷款公司、金融资产管理公司、信托公司、财务公司、金融租赁公司、汽车金融公司、货币经纪公司等其他银行业金融机构参照执行。
第三条本指引所称信息科技是指计算机、通信、微电子和软件工程等现代信息技术，在商业银行业务交易处理、经营管理和内部控制等方面的应用，并包括进行信息科技治理，建立完整的管理组织架构，制订完善的管理制度和流程。
第四条本指引所称信息科技风险，是指信息科技在商业银行运用过程中，由于自然因素、人为因素、技术漏洞和管理缺陷产生的操作、法律和声誉等风险。
第五条信息科技风险管理的目标是通过建立有效的机制，实现对商业银行信息科技风险的识别、计量、监测和控制，促进商业银行安全、持续、稳健运行，推动业务创新，提高信息技术使用水平，增强核心竞争力和可持续发展能力。
第二章信息科技治理第六条商业银行法定代表人是本机构信息科技风险管理的第一责任人，负责组织本指引的贯彻落实。
第七条商业银行的董事会应履行以下信息科技管理职责：（一）遵守并贯彻执行国家有关信息科技管理的法律、法规和技术标准，落实中国银行业监督管理委员会（以下简称银监会）相关监管要求。
（二）审查批准信息科技战略，确保其与银行的总体业务战略和重大策略相一致。
信息科技风险（Information Technology Risk（一）信息科技治理（15分）1.信息科技治理组织架构（8分）（1）是否确立董事会、高管层信息科技管理职责。
（2）是否建立完善的信息科技管理制度体系。
（3）是否建立完善合规的信息科技“三道防线”以及信息科技三道防线的实际运作。
（4）是否明确信息科技治理作为重要组成部分纳入公司治理。
评分原则：（1）考察董事会、高管层的信息科技治理职责是否完整，信息科技发展战略不经董事会审批，或者本年内董事会会议不形成年度信息科技工作决议的此项最高得分4分。
（2）考察是否建立信息科技管理制度的起草、发布、修订等工作流程，信息科技管理制度是否涵盖系统开发、项目管理、系统运行、信息安全、外包管理、业务连续性等领域。
（3）考察是否明确信息科技管理、信息科技风险管理和信息科技风险监督的“三道防线”职责，“三道防线”部门设置是否合规；是否设立信息科技管理委员会，成员来自高管层、信息科技部门和主要业务部门，并定期向高管层汇报工作。
（4）考察商业银行是否以正式制度（文件）明确信息科技治理应作为重要组成部分纳入公司治理；是否制定了信息科技治理运作效果考核指标并定期进行评价。
2.信息科技对业务发展的专业支持和匹配度（7分）（1）信息科技战略与业务发展战略的匹配度。
（2）信息科技人员、信息科技投入等与业务发展的匹配度（定量）。
（3）董事会、高管层等决策人员是否具备足够的信息科技专业知识能力。
评分原则：（1）考察是否建立明确、可实施的信息科技发展战略；是否定期评价信息科技战略规划实施效果，建立信息科技战略与业务战略的协调一致机制。
（2）考察信息科技人员数量、信息科技人员占比、信息科技投入占比与商业银行发展水平是否匹配，低于同质同类商业银行平均值的此项酌情扣分；考察商业银行信息系统建设与业务发展的支撑与匹配程度。
（3）考察具有信息科技管理经验的高管人员在董事会、决策层是否具有一定的占比；是否设立首席信息官，直接向行长汇报，并参与重大决策，首席信息官是否具有一定的信息科技专业背景或从业经验。
银行保险机构信息科技外包风险监管办法第一章总则第一条为规范银行保险机构的信息科技外包活动，加强信息科技外包风险管控，根据《中华人民共和国银行业监督管理法》《中华人民共和国商业银行法》《中华人民共和国保险法》《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》等法律法规，制定本办法。
第二条在中华人民共和国境内设立的政策性银行、商业银行、农村合作银行、省（自治区）农村信用社联合社，保险集团（控股）公司、保险公司、保险资产管理公司、金融资产管理公司适用本办法。
银保监会及其派出机构监管的其他金融机构参照本办法执行。
第三条本办法所适用的信息科技外包，是指银行保险机构将原本由自身负责处理的信息科技活动委托给服务提供商进行处理的行为。
银行保险机构与其他第三方合作当中涉及银行保险机构重要数据和客户个人信息处理的信息科技活动，按照本办法相关要求进行管理，法律法规另有要求的除外。
第四条银行保险机构应当建立与本机构信息科技战略目标相适应的信息科技外包管理体系，将信息科技外包风险纳入全面风险管理体系，有效控制由于外包而引发的风险。
第五条银行保险机构在实施信息科技外包时应当坚持以下原则：（一）不得将信息科技管理责任、网络安全主体责任外包；（二）以不妨碍核心能力建设、积极掌握关键技术为导向；（三）保持外包风险、成本和效益的平衡；（四）保障网络和信息安全，加强重要数据和个人信息保护；（五）强调事前控制和事中监督；（六）持续改进外包策略和风险管理措施。
第二章信息科技外包治理第六条银行保险机构应建立覆盖董（理）事会、高管层、信息科技外包风险主管部门、信息科技外包执行团队的信息科技外包及风险管理组织架构，明确相应层级的职责，确保信息科技外包治理架构权责清晰、运转高效、制衡充分。
第七条银行保险机构董（理）事会或其授权设立的专业委员会应负责推动建立信息科技外包及其风险管理体系、审批信息科技外包战略、审议重大外包决策，高级管理层应负责制定信息科技外包战略，明确信息科技外包风险主管部门和信息科技外包执行团队，明确信息科技外包及其风险管理职责，审议信息科技外包管理流程及制度，监控信息科技外包及其风险管理成效。
信息科技风险（Information Technology Risk)（一）信息科技治理（15分)1。
信息科技治理组织架构（8分）（1)是否确立董事会、高管层信息科技管理职责.（2)是否建立完善的信息科技管理制度体系。
（3）是否建立完善合规的信息科技“三道防线"以及信息科技三道防线的实际运作。
（4）是否明确信息科技治理作为重要组成部分纳入公司治理。
评分原则：（1）考察董事会、高管层的信息科技治理职责是否完整,信息科技发展战略不经董事会审批，或者本年内董事会会议不形成年度信息科技工作决议的此项最高得分4分。
（2)考察是否建立信息科技管理制度的起草、发布、修订等工作流程，信息科技管理制度是否涵盖系统开发、项目管理、系统运行、信息安全、外包管理、业务连续性等领域。
（3）考察是否明确信息科技管理、信息科技风险管理和信息科技风险监督的“三道防线"职责,“三道防线”部门设置是否合规;是否设立信息科技管理委员会，成员来自高管层、信息科技部门和主要业务部门,并定期向高管层汇报工作。
（4）考察商业银行是否以正式制度（文件）明确信息科技治理应作为重要组成部分纳入公司治理；是否制定了信息科技治理运作效果考核指标并定期进行评价.2。
信息科技对业务发展的专业支持和匹配度（7分）（1）信息科技战略与业务发展战略的匹配度。
(2)信息科技人员、信息科技投入等与业务发展的匹配度（定量）。
(3)董事会、高管层等决策人员是否具备足够的信息科技专业知识能力.评分原则：（1）考察是否建立明确、可实施的信息科技发展战略；是否定期评价信息科技战略规划实施效果，建立信息科技战略与业务战略的协调一致机制。
（2）考察信息科技人员数量、信息科技人员占比、信息科技投入占比与商业银行发展水平是否匹配，低于同质同类商业银行平均值的此项酌情扣分；考察商业银行信息系统建设与业务发展的支撑与匹配程度。
(3)考察具有信息科技管理经验的高管人员在董事会、决策层是否具有一定的占比；是否设立首席信息官,直接向行长汇报,并参与重大决策，首席信息官是否具有一定的信息科技专业背景或从业经验.（二）信息科技风险管理（12分）1.信息科技风险管理体系（6分）（1)是否将信息科技风险纳入全面风险管理体系，建立完善的信息科技风险管理组织架构。
信息科技风险非现场监管指标及风险评估体系目录第一章总则 (1)1.1目的 (1)1.2适用范围 (3)第二章整体框架 (4)第三章固有风险指标 (6)3.1重要信息系统 (6)3.2数据中心运行与灾备 (7)3.3信息科技项目 (7)3.4信息科技服务外包 (8)3.5系统恢复及数据保护 (8)3.6监管关注度 (9)第四章控制有效性指标 (10)4.1信息科技治理 (10)4.2信息科技风险管理 (12)4.3信息科技审计 (13)4.4信息系统开发及测试 (14)4.5信息科技运行 (15)4.6灾难恢复与应急管理 (17)4.7信息科技服务外包 (18)4.8信息安全 (19)第五章信息科技风险评估 (23)5.1固有风险评估 (23)5.1.1评估方法 (23)5.1.2评估卡 (25)5.1.3固有风险评估结论 (26)5.2控制有效性评估 (29)5.2.1评估方法 (29)5.2.2评估卡 (31)5.2.3控制有效性评估结论 (32)5.3剩余风险评估 (35)5.4信息科技风险综合得分.......................................................................................错误！未定义书签。
5.5信息科技风险综合评估 (36)5.5.1综合风险评估卡 (36)5.5.2综合评估结论 (38)5.6撰写风险评估报告 (40)附件一固有风险指标 (41)附件二监管关注度指标 (45)附件三控制有效性指标 (46)第一章总则1.1目的为规范银行业金融机构信息科技风险非现场监管工作，建立有效的信息科技风险非现场监管指标及风险评估方法，依据《中华人民共和国银行业监督管理法》、《中华人民共和国商业银行法》、《商业银行信息科技风险管理指引》和其他相关法律、法规，编制本体系。
本体系主要目的包括：1.建立一套相对完整、合理、开放的信息科技风险非现场监管指标及评估方法，以求尽量客观反映和评估银行业金融机构信息科技风险现状及管控水平，为各级监管部门全面开展信息科技风险非现场监管工作提供参考和指导。
前言信息科技已经成为银行业金融机构实现经营战略和业务运营的基础平台以及金融创新的重要手段。
银行业对信息科技的高度依赖，决定了信息系统的安全性、可靠性和有效性对维系整个银行业的安全和金融体系的稳定具有至关重要的作用。
银监会党委对信息科技风险监管工作高度重视，刘明康主席多次召开专项工作会议并做出重要批示和指示，明确要求着力推进信息科技风险监管。
银监会坚持贯彻“管法人、管风险、管内控、提高透明度”的监管理念，把信息科技风险纳入银行总体风险监管框架，切实加强制度建设和风险监控，确保银行业信息系统安全稳定。
在目前信息技术革新日新月异、金融业务不断创新、银行对信息科技依赖性越来越大的新形势下，银监会坚持“风险为本”的监管原则，提出了信息科技风险功能性监管的新思路，突出“制度先行”，完善监管框架，借鉴和吸收国际先进标准及业界最佳实践，不断丰富信息科技风险监管方式方法，制定了一系列的监管规范，结合奥运保障开展现场检查，并针对性地发出有关风险提示，建立非现场监管体系和监管评级体系，从而构建了信息科技风险监管的基础框架，全面展开信息科技风险的监管工作。
按照郭利根副主席提出的“集成资源，形成信息科技风险监管合力”和“搞好规划，全面加强信息科技风险监管制度建设”要求，银监会强化机制建设、优化资源配置，整合科技人力资源，集中全国银监会系统科技骨干力量，在北京成立了信息科技监管“专项工作组”，又在上海、深圳两地分别成立信息科技风险监管工作室，按照统一调度、统一指挥、统一培训的工作原则，制度建设、奥运保障、现场检查、非现场监管及监管评级五线并举，形成了矩阵式的监管工作模式，快速锻炼了一支能战会战、能够担当重任的信息科技风险专业化监管队伍。
《手册》的编写得到了各方的大力支持。
上海、湖北、安徽、山东、山西、江苏、江西、河南、内蒙古、黑龙江、青岛、福建、河北、宁夏、辽宁、吉林、浙江、四川、深圳、广东、1天津、重庆、大连、云南、贵州银监局派出精锐技术骨干，参加《手册》编写工作；银监会各部门与各银监局提出了许多宝贵意见；上海银监局为编写工作提供了大量支持和保障工作。
金融科技行业信息科技管理制度解析金融科技（Fintech）行业的快速发展为金融服务业注入了新的活力，同时也带来了一系列挑战。
为了确保金融科技公司运营的安全和合规性，信息科技管理制度起到了至关重要的作用。
本文将对金融科技行业信息科技管理制度进行解析，以帮助企业更好地了解和应用相关制度。
一、信息科技管理制度背景介绍信息科技管理制度是为了保证金融科技公司的信息技术与数据安全，确保其合规运营而制定的一系列规范和流程。
这些制度通常由企业内部的信息科技部门牵头制定，并受到监管机构的监管和审查。
信息科技管理制度包括但不限于以下几个方面：1. 风险管理：制度应明确金融科技公司信息系统所涉及的各种风险，并规定相应的管理措施和预防控制措施。
例如，网络安全风险、数据泄露风险等。
2. 数据保护：金融科技公司在运营过程中可能涉及大量的用户敏感数据，制度应详细规定数据收集、存储、使用和共享的规范，并确保合法合规。
3. 内部控制：制度应规范金融科技公司内部控制体系的建立和运作，确保信息系统和技术设施的正常运行和安全性。
4. 监管合规：金融科技公司需要遵守各种法律法规和监管要求，制度应确保公司在信息科技管理方面的合规性，并保证相应的报告和备案工作。
二、信息科技管理制度实施步骤为了确保信息科技管理制度的有效实施和执行，以下是一些常见的步骤和流程：1. 制定制度规范：金融科技公司应根据自身特点和需求，制定相应的信息科技管理制度规范，包括其核心原则、工作流程、责任分工等。
2. 培训和沟通：制度的有效执行需要所有员工的共同努力，金融科技公司应对员工进行相关培训，确保他们对制度的内容和要求有清晰的认识和理解。
3. 风险评估和管理：金融科技公司应定期进行风险评估，识别和评估潜在的信息科技风险，并采取相应的管理和控制措施，以降低风险。
4. 监测和审核：制度的执行情况需要进行监测和审核，以确保制度的有效性和合规性。
金融科技公司可以建立内部审计机构或委托第三方进行审计。
我国银行信息科技风险监管研究【摘要】本文主要围绕我国银行信息科技风险监管展开研究。
引言部分介绍了研究的背景和意义。
正文部分首先分析了我国银行信息科技发展的现状，然后对信息科技风险监管进行了现状分析，并探讨了银行信息科技风险监管面临的挑战。
接着对监管技术和措施进行了研究，提出了相关政策建议。
结论部分对整个研究进行了总结，展望未来的发展方向，并强调了研究的重要性和价值。
通过本文的研究，可以更好地了解我国银行信息科技风险监管的现状和挑战，为相关政策制定和实践提供参考。
【关键词】银行、信息科技、风险监管、研究、现状分析、挑战、技术、措施、政策建议、总结、展望、研究价值1. 引言1.1 介绍信息科技在当今社会发挥着越来越重要的作用，银行作为金融机构之一，在信息科技的发展和应用中也起着至关重要的作用。
随着我国金融行业的快速发展，银行信息科技风险监管愈发受到重视。
银行信息科技风险监管研究的重要性不言而喻。
随着金融科技的不断普及和应用，银行面临的信息科技风险也在不断增加。
如何有效监管银行信息科技风险，防范和化解各类风险事件，已成为当前银行管理者和监管部门共同面临的重要课题。
本文将围绕我国银行信息科技风险监管展开研究，通过对我国银行信息科技的发展现状以及信息科技风险监管的现状分析，探讨银行信息科技风险监管面临的挑战。
结合监管技术和措施研究，提出相关的监管政策建议，旨在为我国银行信息科技风险监管工作提供参考和借鉴。
1.2 研究背景随着我国银行业信息化水平的不断提升，银行信息科技已经成为支撑和推动银行业发展的重要力量。
信息科技不仅提升了银行业务效率，还为客户提供了更便捷、智能的金融服务体验。
随着信息技术的广泛应用，银行也面临着日益复杂和多样化的信息科技风险。
在信息时代，网络安全、数据隐私、技术风险等问题成为银行面临的主要挑战。
加强银行信息科技风险监管显得尤为重要。
只有及时发现、预防和应对信息科技风险，才能确保银行信息系统的稳定和安全运行，保障金融体系的稳定和可持续发展。
银行业金融机构信息科技风险非现场监管报表（征求意见稿）1目录第一部分年度报表 (1)I信息科技风险调查问卷 (1)Q-R-1 信息科技风险调查问卷 (1)II基本情况报表 (8)T-B-1 信息科技治理基本情况表 (8)T-B-2 信息科技风险管理情况表 (10)T-B-3 信息科技内外部审计与评估基本情况表 (12)T-B-4 应急管理基本情况表 (14)T-B-5 信息科技项目基本情况表 (15)T-B-6 灾备基本情况表 (16)T-B-7 外包基本情况表 (18)T-B-8 各类中心基本情况表 (19)T-B-9 数据中心及灾备中心机房基本情况表 (20)T-B-10 重要信息系统统计表 (21)T-B-11 网络基本情况表 (23)T-B-12 电子银行业务品种统计表 (24)T-B-13 电子银行业务量统计表 (25)第二部分季度报表 (27)T-B-14 重要信息系统运行基本情况报表 (27)T-B-15 组织机构、人员重大变动表 (30)第三部分报告 (31)R-R-1 信息化建设与信息科技风险管理年度报告 (31)附录参考定义 (32)2填报须知一、本报表作为银监会信息科技风险监管体系的重要组成部分及信息科技风险识别、评估工作的基础和前提，旨在全面收集和监测银行业金融机构信息科技风险状况。
二、本报表主要适用于在中华人民共和国境内依法设立的政策性银行、国有商业银行、股份制商业银行、邮政储蓄银行、城市商业银行、农村商业银行、农村合作银行、城市信用社、农村信用社、外资法人银行等银行业金融机构。
三、本报表是为针对信息科技风险而设的专门报表，银行业金融机构应当对所填报数据的真实性负责。
四、本报表应由风险管理部门组织填报。
五、本报表分为年度报表、季度报表和报告。
年度报表统计周期为12个月，即上一年10月1日至本年度9月30日，报送截止时间为每年10月15日；季度报表报送时间为季后10日内；报告报送时间为自然年后40日内。
