银监发【2011】86号---中国银监会关于加强电子银行客户信息管理工作的通知

中国银监会关于加强银行业金融机构外部审计沟通工作的通知正文：---------------------------------------------------------------------------------------------------------------------------------------------------- 中国银监会关于加强银行业金融机构外部审计沟通工作的通知（银监发[2011]29号）各银监局，各政策性银行、国有商业银行、股份制商业银行、金融资产管理公司，邮政储蓄银行，各省级农村信用联社，银监会直接监管的信托公司、企业集团财务公司、金融租赁公司：为充分发挥外部审计在维护市场纪律、补充监管、促进银行业金融机构改善经营管理等方面的积极作用，落实银监会《银行业金融机构外部审计监管指引》（银监发〔2010〕73号）相关要求，现就进一步加强银行业监管机构及银行业金融机构与外部审计沟通工作的有关事项通知如下：一、银行业金融机构应健全委托外部审计的管理制度和流程，畅通与外部审计沟通交流的渠道和机制，重视外部审计的意见和建议，尤其应对外部审计的风险提示和对内部控制的意见进行认真分析和评估，并对相关问题及时进行整改。

二、银行业金融机构应积极配合外部审计工作，为外部审计机构提供必要的审计便利，不得阻碍外部审计工作正常开展，不得对外部审计出具审计意见施加影响，确保外部审计的独立性。

三、银行业金融机构的审计委员会应定期审阅外部审计报告，并与外部审计机构举行双方会谈，就审计情况进行充分沟通。

四、银行业金融机构单方面决定终止外部审计委托前，应向银行业监管机构报告终止委托的原因和外部审计机构的陈述意见。

银行业金融机构不得因外部审计机构出具保留意见、否定意见或无法出具审计意见等非标准审计意见而终止审计委托。

五、银行业监管机构应加强与银行业金融机构以及外部审计机构的信息交流，定期举行三方会谈，也可直接与外部审计机构进行沟通，及时发现和解决银行业金融机构存在的相关问题。

银保监客户信息管理办法
首先，要加强用户敏感数据及客户信息邮件管理，涉及客户敏感数据及客户信息的邮件必须加密发送，在邮件传送时不能同时发送密码。

其次，个人电脑、个人系统的密码要自己保管，不能串用，个人抽屉内不能私自保管客户身份证原件、复印件等重要资料，要求保管的资料必须专夹专人上锁或入保险柜保管。

最后，重点关注私人银行客户信息的保管及管理。

一是私人银行客户的签约及发卡信息档案应专人保管，入柜上锁保管，建立档案借阅登记簿，如非本人调阅资料，需履行登记手续，以明确责任。

其他人员在职责范围内持有的客户信息资料应妥善保管，不得随意堆放，应定期归档或销毁。

二是做好离职、离岗人员的客户信息档案交接管理工作，相关人员离开之前应将保管的及客户信息纸质档案以及计算机内的客户信息完整移交，不需使用的信息应两人现场使用计算机专用销毁工具进行销毁。

三是加强公共区计算机的管理。

公共计算机上不得留存任何敏感数据及客户信息，做到“谁使用、谁销毁”。

关于银⾏泄露客户信息引发法律风险的分析与应对内容摘要：近年来银⾏与客户之间就客户信息保护问题产⽣多⽅岐议，本⽂从银⾏⾓度考量如何加强客户信息保护，并就1、相关案例;2、为客户信息保密的法律分析;3、法律责任体现;4、相关民事、刑事、⾏政责任和声誉损失等⽅⾯展开论诉与分析，同时提出多项可供操作的建议，为银⾏进⼀步提升客户信息保护提供参考借鉴。

银⾏通过为客户办理存款、贷款、理财、电⼦银⾏、银⾏卡等⾦融服务，掌握了⼤量的个⼈、法⼈客户信息，如姓名、⾝份证号码、账户、联系⽅式、资产状况等。

除法律另有规定外，银⾏及其相关⼯作⼈员须对客户信息承担保密义务，未经许可不得私⾃向第三⽅提供上述信息，否则将承担相应的法律责任。

⼀、案例回放案例⼀：银⾏私⾃查询客户信息频频接到不明商家的推销电话，不堪其扰的郭先⽣多次质问，对⽅均称信息系某银⾏提供。

为此，郭先⽣在与某银⾏协商未果后，向中国⼈民银⾏某分⾏投诉并查询，没想到，⼈⾏出具的书⾯“报告”显⽰，某商业银⾏在未取得郭先⽣授权情况下，先后两次查询了其信⽤报告。

⼈民银⾏对这家银⾏做出了罚款2万元的处罚。

据此，郭先⽣怀疑他收到的骚扰电话都跟这家银⾏有关。

2011年10⽉，郭先⽣决定以银⾏涉嫌侵犯其隐私权为名将其诉⾄某法院，并要求其在媒体上公开道歉。

⽬前，此案还在进⼀步审理中。

案例⼆：银⾏员⼯利⽤⼯作便利，⾮法将客户信息提供中介机构2006年2⽉，xx银⾏a⽀⾏b分理处保安张某在值班时，趁指导客户华某使⽤⾃动取款机的机会记住了华某的银⾏卡账号和密码。

事后，张某将此事告诉了其在a⽀⾏c分理处当保安的朋友耿-某。

耿-某找c分理处职⼯孙某帮助查询华某的⾝份证号码。

孙某明知银⾏对客户信息具有保密义务，却碍于和耿-某的朋友情谊，仍向耿-某提供了客户华某的⾝份证号码，因此，张某很轻易的⼈耿-某处获得了华某的⾝份证号码，2006年5⽉2⽇⾄26⽇，张某以华某的信息资料在⽹上注册了“⽹上银⾏”和“电话银⾏”，将华某银⾏卡内现⾦6866元⽤于充交⼿机话费。

附：商业银行客户信息保护的相关法律、法规、规章及规范性文件摘录一、综合类监管规定1、中华人民共和国刑法第一百七十七条规定有下列情形之一，妨害信用卡管理的，处三年以下有期徒刑或者拘役，并处或者单处一万元以上十万元以下罚金；数量巨大或者有其他严重情节的，处三年以上十年以下有期徒刑，并处二万元以上二十万元以下罚金：（一）明知是伪造的信用卡而持有、运输的，或者明知是伪造的空白信用卡而持有、运输，数量较大的；（二）非法持有他人信用卡，数量较大的；（三）使用虚假的身份证明骗领信用卡的；（四）出售、购买、为他人提供伪造的信用卡或者以虚假的身份证明骗领的信用卡的。

窃取、收买或者非法提供他人信用卡信息资料的，依照前款规定处罚。

银行或者其他金融机构的工作人员利用职务上的便利，犯第二款罪的，从重处罚。

第二百五十三条国家机关或者金融、电信、交通、教育、医疗等单位的工作人员，违反国家规定，将本单位在履行职责或者提供服务过程中获得的公民个人信息，出售或者非法提供给他人，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金。

窃取或者以其他方法非法获取上述信息，情节严重的，依照前款的规定处罚。

单位犯前两款罪的，对单位判处罚金，并对其直接负责的主管人员和其他直接责任人员，依照各该款的规定处罚。

2、中华人民共和国商业银行法第二十九条商业银行办理个人储蓄存款业务，应当遵循存款自愿、取款自由、存款有息、为存款人保密的原则。

对个人储蓄存款，商业银行有权拒绝任何单位或者个人查询、冻结、扣划，但法律另有规定的除外。

第三十条对单位存款，商业银行有权拒绝任何单位或者个人查询，但法律、行政法规另有规定的除外；有权拒绝任何单位或者个人冻结、扣划，但法律另有规定的除外。

3、中华人民共和国侵权责任法第二条侵害民事权益，应当依照本法承担侵权责任。

本法所称民事权益，包括生命权、健康权、姓名权、名誉权、荣誉权、肖像权、隐私权、婚姻自主权、监护权、所有权、用益物权、担保物权、著作权、专利权、商标专用权、发现权、股权、继承权等人身、财产权益。

中国银监会办公厅关于进一步加强网上银行风险防控工作的通知文章属性•【制定机关】中国银行业监督管理委员会(已撤销)•【公布日期】2011.03.15•【文号】银监办发[2011]62号•【施行日期】2011.03.15•【效力等级】部门规范性文件•【时效性】现行有效•【主题分类】银行业监督管理正文中国银监会办公厅关于进一步加强网上银行风险防控工作的通知（银监办发[2011]62号）各银监局，各国有商业银行、股份制商业银行，邮政储蓄银行，各省级农村信用联社：2010年11月下旬以来，针对使用动态口令技术的网银欺诈案件十分猖獗。

不法分子大量注册仿冒域名，建立仿冒网站，假借银行名义群发短信，以网银系统升级、动态口令牌过期或手机动态密码升级为由，诱骗客户登录仿冒网站，窃取客户网银用户名、密码和动态口令，在动态口令有效期内迅速盗取客户资金。

一些银行机构紧急增加了“手机交易验证码”，在转账过程中要求用户确认收款人、收款账号和金额，但不法分子又开始利用窃取的动态口令从网银自助服务开通手机银行等其它电子渠道业务，并转借手机银行渠道盗取客户资金。

近期的网银欺诈案件已涉及多家商业银行和农村金融机构，使客户蒙受损失，引起媒体的广泛关注，严重损害了银行业金融机构声誉。

为有效应对“钓鱼”诈骗，提高银行机构网站及网上银行系统风险防控能力，维护公众利益和银行声誉，现将有关事宜通知如下：一、各银行业金融机构应高度重视网上银行风险管控，加强对仿冒网站等“钓鱼”诈骗事件的防范。

一是要深刻认识并重视“钓鱼”诈骗案件可能引发的各类风险，严格落实管理责任，加强主动防范、主动干预。

各银行业金融机构应积极利用手工或自动化技术以及外部专业服务等多种手段、措施，加强假冒网站的主动搜索、监测和识别，业务部门和科技部门之间、银行业金融机构同业之间要建立“钓鱼”诈骗案件信息共享和协同应对机制，要加大与国家有关管理部门协调力度，建立有效的“钓鱼”诈骗快速响应机制。

第一章总则第一条为加强电子银行业务的风险管理，保障客户及银行的合法权益，促进电子银行业务健康有序发展，根据《中华人民共和国银行业监督管理法》、《中华人民共和国商业银行法》和《中华人民共和国外资金融机构管理条例》等有关法律法规,制定本办法。

第二条本办法所称电子银行业务,是指金融机构利用面向社会公众开放的通讯渠道和公众网络,以及银行为特定自助服务设施或客户建立的专用网络提供的银行业务。

电子银行业务包括利用计算机和互联网开展的银行业务（以下简称“网上银行业务”）利用电话等声讯设备和电信网络开展的银行业务（以下简称“电话银行业务”），利用移动电话和互联网开展的银行业务（以下简称“手机银行业务”），以及利用其他外部电子服务设备提供的由客户自助服务的银行业务。

第三条在中华人民共和国境内设立的银行业金融机构，以及依据《中华人民共和国外资金融机构管理条例》设立的外资金融机构,应当按照本办法的规定开展电子银行业务.在中华人民共和国境内设立的金融资产管理公司、信托投资公司、财务公司、金融租赁公司以及经中国银行业监督管理委员会(以下简称中国银监会）批准设立的其他金融机构，开展有关电子金融服务业务，适用本办法对金融机构开展电子银行业务的有关规定。

第四条经审查批准，银行业金融机构、外资金融机构可以在中华人民共和国境内开办电子银行业务,向中华人民共和国境内企业、居民等客户提供电子银行服务。

第五条开展电子银行业务的金融机构,应当按照合理规划、统一管理、保障系统安全运行的原则，加强对电子银行业务风险的管理，保证电子银行业务的健康、有序发展.第六条开办电子银行业务的金融机构应根据电子银行业务的特性,建立健全电子银行业务的风险管理体系和内部控制体系，设立相应的管理机构，明确电子银行业务管理的责任，有效地识别、监测和控制电子银行业务风险.第七条中国银监会统一负责对境内及跨境电子银行业务实施监管。

第二章申请与变更第八条金融机构在中华人民共和国境内开办电子银行业务，应当依照有关法律法规的规定,报经中国银监会审查批准。

【金融banker圈】【政策法规】电子银行业务管理办法第一章总则第一条为加强电子银行业务的风险管理，保障客户及银行的合法权益，促进电子银行业务的健康有序发展，根据《中华人民共和国银行业监督管理法》、《中华人民共和国商业银行法》和《中华人民共和国外资金融机构管理条例》等法律法规，制定本办法。

第二条本办法所称电子银行业务，是指商业银行等银行业金融机构利用面向社会公众开放的通讯通道或开放型公众网络，以及银行为特定自助服务设施或客户建立的专用网络，向客户提供的银行服务。

电子银行业务包括利用计算机和互联网开展的银行业务（以下简称网上银行业务），利用电话等声讯设备和电信网络开展的银行业务（以下简称电话银行业务），利用移动电话和无线网络开展的银行业务（以下简称手机银行业务），以及其他利用电子服务设备和网络，由客户通过自助服务方式完成金融交易的银行业务。

第三条银行业金融机构和依据《中华人民共和国外资金融机构管理条例》设立的外资金融机构（以下通称为金融机构），应当按照本办法的规定开展电子银行业务。

在中华人民共和国境内设立的金融资产管理公司、信托投资公司、财务公司、金融租赁公司以及经中国银行业监督管理委员会（以下简称中国银监会）批准设立的其他金融机构，开办具有电子银行性质的电子金融业务，适用本办法对金融机构开展电子银行业务的有关规定。

第四条经中国银监会批准，金融机构可以在中华人民共和国境内开办电子银行业务，向中华人民共和国境内企业、居民等客户提供电子银行服务，也可按照本办法的有关规定开展跨境电子银行服务。

第五条金融机构应当按照合理规划、统一管理、保障系统安全运行的原则，开展电子银行业务，保证电子银行业务的健康、有序发展。

第六条金融机构应根据电子银行业务特性，建立健全电子银行业务风险管理体系和内部控制体系，设立相应的管理机构，明确电子银行业务管理的责任，有效地识别、评估、监测和控制电子银行业务风险。

第七条中国银监会负责对电子银行业务实施监督管理。

中国银监会关于发布银行业规章和规范性文件清理结果的公告文章属性•【制定机关】中国银行业监督管理委员会(已撤销)•【公布日期】2011.01.05•【文号】银监发[2011]1号•【施行日期】2011.01.05•【效力等级】部门规范性文件•【时效性】现行有效•【主题分类】法制工作正文中国银监会关于发布银行业规章和规范性文件清理结果的公告（银监发〔2011〕1号）根据《国务院办公厅关于做好规章清理工作有关问题的通知》（国办发〔2010〕28号）要求，中国银行业监督管理委员会对成立以来截至2010年11月10日发布的规章和规范性文件，以及成立以前由中国人民银行发布的涉及银监会监管职责的规章和规范性文件进行了全面清理。

现将清理结果公告如下：一、由中国银行业监督管理委员会发布的《关于调整银行市场准入管理方式和程序的决定》等39件规章（附件1），继续有效。

二、由中国银行业监督管理委员会发布的《中国银行业监督管理委员会办公厅关于加强对商业银行开展融资类担保业务风险管理的通知》等493件规范性文件（附件2），继续有效。

三、由中国人民银行发布的《关于执行＜储蓄管理条例＞的若干规定》等68件规章和规范性文件（附件3），继续适用。

四、由中国银行业监督管理委员会发布的《商业银行内部控制评价试行办法》等2件规章（附件4），自公告之日起废止。

五、由中国银行业监督管理委员会发布的《中国银行业监督管理委员会办公厅关于非银行金融机构高级管理人员任职资格有关问题的批复》等82件规范性文件（附件5），自公告之日起废止。

六、由中国人民银行发布的《关于印发＜农村信用合作社管理暂行规定＞的通知》等66件规章和规范性文件（附件6），不再适用。

以上清理结果已经中国银行业监督管理委员会第103次主席会议审议通过。

特此公告。

二○一一年一月五日附件1：由中国银行业监督管理委员会发布，继续有效的规章39件1.关于调整银行市场准入管理方式和程序的决定中国银行业监督管理委员会令2003年第1号2.商业银行服务价格管理暂行办法中国银行业监督管理委员会、国家发展和改革委员会令2003年第3号3.境外金融机构投资入股中资金融机构管理办法中国银行业监督管理委员会令2003年第6号4.商业银行与内部人和股东关联交易管理办法中国银行业监督管理委员会令2004年第3号5.银行业监管统计管理暂行办法中国银行业监督管理委员会令2004年第6号6.中国银行业监督管理委员会行政复议办法中国银行业监督管理委员会令2004年第8号7.商业银行市场风险管理指引中国银行业监督管理委员会令2004年第10号8.货币经纪公司试点管理办法中国银行业监督管理委员会令2005年第1号9.商业银行个人理财业务管理暂行办法中国银行业监督管理委员会令2005年第2号10.金融机构信贷资产证券化试点监督管理办法中国银行业监督管理委员会令2005年第3号11.中国银行业监督管理委员会法律工作规定中国银行业监督管理委员会令2005年第4号12.中国银行业监督管理委员会行政许可实施程序规定中国银行业监督管理委员会令2006年第1号13.中国银行业监督管理委员会中资商业银行行政许可事项实施办法中国银行业监督管理委员会令2006年第2号14.电子银行业务管理办法中国银行业监督管理委员会令2006年第5号15.中国银行业监督管理委员会外资金融机构行政许可事项实施办法中国银行业监督管理委员会令2006年第4号16.中华人民共和国外资银行管理条例实施细则中国银行业监督管理委员会令2006年第6号17.企业集团财务公司管理办法 2004年7月27日中国银行业监督管理委员会令第5号发布，根据2006年12月28日《中国银行业监督管理委员会关于修改＜企业集团财务公司管理办法＞的决定》修订中国银行业监督管理委员会令2006年第8号18.金融租赁公司管理办法中国银行业监督管理委员会令2007年第1号19.信托公司管理办法中国银行业监督管理委员会令2007年第2号20.金融机构衍生产品交易业务管理暂行办法中国银行业监督管理委员会2004年第1号令颁布实施，根据2006年12月28日中国银行业监督管理委员会第55次主席会议《关于修改＜金融机构衍生产品交易业务管理暂行办法＞的决定》修正，2007年7月3日公布中国银行业监督管理委员会令2007年第10号21.商业银行资本充足率管理办法中国银行业监督管理委员会2004年第2号令颁布实施，根据2006年12月28日中国银行业监督管理委员会第55次主席会议《关于修改＜商业银行资本充足率管理办法＞的决定》修正，2007年7月3日公布中国银行业监督管理委员会令2007年第11号22.个人定期存单质押贷款办法中国银行业监督管理委员会令2007年第4号23.中国银行业监督管理委员会行政处罚办法中国银行业监督管理委员会2004年第7号令颁布实施，根据2006年12月8日中国银行业监督管理委员会第54次主席会议《关于修改＜中国银行业监督管理委员会行政处罚办法＞的决定》修正中国银行业监督管理委员会令2007年第5号24.商业银行内部控制指引中国银行业监督管理委员会令2007年第6号25.商业银行信息披露办法中国银行业监督管理委员会令2007年第7号26.金融许可证管理办法中国银行业监督管理委员会2003年第2号令颁布实施，根据2006年12月28日中国银行业监督管理委员会第55次主席会议《关于修改＜金融许可证管理办法＞的决定》修正，2007年7月3日公布。

急件中国银行业监督管理委员会文件银监发[2011] 86号中国银监会关于加强电子银行客户信息管理工作的通知各银监局，各国有商业银行、股份制商业银行，邮政储蓄银行，银监会直接监管的信托公司、企业集团财务公司、金融租赁公司：为促进电子银行业务健康有序发展，规范商业银行客户信息管理行为，有效保护商业银行客户信息安全，维护客户合法权益，根据《电子银行业务管理办法》有关规定，现就加强商业银行电子银行业务中电子资金转移与支付环节的客户信息管理工作提出以下要求：一、商业银行应按照有关法律法规要求，高度重视客户信息安全与保密工作，开展电子资金转移与支付业务（包括但不限于使用计算机、手机、电话、掌上电脑、电视、自助终端等电子设备，由客户自助发起提交银行或通过第三方机构提交银行处理的资金划转行为)时,严格执行《电子银行业务管理办法》等相关规章制度。

二、商业银行对于以上电子资金转移与支付业务应明确统一的电子银行业务管理部门,持续具各相应的专业能力和管理能力,明确风险管理责任。

三、商业银行应采取有效措施切实保障客户信息安全,加强电子资金转移和支付环节的身份识别管理。

从客户银行账户扣划资金时,原则上应由账户所在银行完成电子资金转移与支付交易的安全认证;对于由第三方机构完成安全认证的电子资金转移与支付业务,应至少在首笔业务前由账户所在银行通过物理网点、电子渠道或其他有效方式直接验证客户身份,并与客户约定双方相关权利与义务。

商业银行应根据不同业务类型和安全认证方式采取差异化的风险控制策略,谨慎设置交易限额。

四、商业银行在开展电子资金转移与支付业务过程中,应不断加强客户信息安全的内部控制与管理。

未经客户对本机构授权,不得直接或间接将客户名称、证件类型及证件号码、手机号码、固定电话号码、通信地址及其他客户敏感信息提供给第三方机构。

五、商业银行在开展电子资金转移与支付业务过程中,应加强对合作商户和第三方机构的合作方准入管理,与之明确约定相关商户、商品及资金用途等信息共享方面的权利和义务,防范套现、欺诈等风险。

中国人民银行关于印发《网上银行系统信息安全通用规范(试行)》的通知文章属性•【制定机关】中国人民银行•【公布日期】2010.01.18•【文号】银发[2010]19号•【施行日期】2010.01.18•【效力等级】部门规范性文件•【时效性】失效•【主题分类】银行业监督管理正文中国人民银行关于印发《网上银行系统信息安全通用规范(试行)》的通知（2010年1月18日银发[2010]19号）中国人民银行上海总部，各分行、营业管理部，各省会(首府)城市中心支行，副省级城市中心支行；各政策性银行、国有商业银行、股份制商业银行，中国邮政储蓄银行：为加强网上银行管理，促进网上银行业务健康发展，有效增强网上银行系统的信息安全防范能力，中国人民银行制定了《网上银行系统信息安全通用规范(试行)》，现印发给你们，请遵照执行。

请中国人民银行上海总部，各分行、营业管理部、省会(首府)城市中心支行，副省级城市中心支行将本通知转发至辖区内各城市商业银行、农村商业银行、城市信用社和农村信用社。

执行中如遇问题，请及时告知中国人民银行科技司。

附件：网上银行系统信息安全通用规范(试行)附件网上银行系统信息安全通用规范(试行)（中国人民银行）前言本规范是在收集、分析评估检查发现的网上银行系统信息安全问题和已发生过的网上银行案件的基础上，有针对性提出的安全要求，内容涉及网上银行系统的技术、管理和业务运作三个方面。

本规范分为基本要求和增强要求两个层次。

基本要求为最低安全要求，增强要求为本规范下发之日起的三年内应达到的安全要求，各单位应在遵照执行基本要求的同时，按照增强要求，积极采取改进措施，在规定期限内达标。

本规范旨在有效增强现有网上银行系统安全防范能力，促进网上银行规范、健康发展。

本规范既可作为网上银行系统建设和改造升级的安全性依据，也可作为各单位开展安全检查和内部审计的依据。

目录1使用范围和要求2规范性引用文件3术语和定义3.1网上银行3.2互联网3.3敏感信息3.4客户端程序3.5 USBKey3.6 USBKey 固件3.7强效加密4符号和缩略语5网上银行系统概述5.1系统标识5.2系统定义5.3系统描述5.4安全域6安全规范6.1安全技术规范6.2安全管理规范6.3业务运作安全规范附1 基本的网络防护架构参考图附2 增强的网络防护架构参考图1使用范围和要求本规范指出了网上银行系统的描述、安全技术规范、安全管理规范、业务运作安全规范，适用于规范网上银行系统建设、运营及测评工作。