下载文档原格式
XX银行信息科技外包风险管理办法第一章总则第一条为了规范XX银行（以下简称“本行”）信息科技外包管理,控制外包服务风险，根据中国银监会《商业银行信息科技风险管理指引》和《银行业金融机构信息科技外包风险监管指引》，结合本行实际，制定本办法。
第二条信息科技外包系指因本行技术人员技术力量不足或特殊情况，将原本由自身负责处理的信息科技活动委托给服务供应商进行处理的行为。
第三条本行外包管理原则包括：（一）自主可控原则。
信息科技外包活动以不妨碍核心能力建设、关键技术自主可控为导向。
（二）协调统一原则。
符合科技风险管理策略，保持外包风险、成本和效益的平衡。
（三）预防优先原则。
审慎管理信息科技外包活动，秉承事前预防重于事后控制、日常防控重于应急处理的原则。
（四）动态优化原则。
根据外部监管要求、信息科技发展趋势和本行业务发展需求，持续优化本行信息科技风险外包管理策略和工作机制。
第四条本办法适用于本行与信息科技相关外包活动的管理。
第五条本行的信息科技外包活动应遵守国家相关法律法规及监管部门的相关规定。
第二章组织架构与职责分工第六条本行外包管理的组织架构包括董事会、信息科技管理委员会、外包风险主管部门、外包管理执行团队、外包管理审计部门。
第七条董事会承担信息科技外包管理的最终责任。
主要职责包括：（一）审议批准信息科技外包战略；（二）审议批准外包管理基本制度；（三）审议批准本机构的外包范围及相关安排；（四）定期审阅本机构外包活动相关报告；（五）银监会信息科技外包风险监管指引要求的其它工作。
第八条高级管理层设信息科技管理委员会，负责全行科技外包工作的日常决策工作。
主要职责包括：（一）制定外包战略发展规划；（二）确定外包业务的范围及相关安排；（三）确定科技外包管理团队职责，并对其行为进行有效监督；（四）定期审阅本行外包活动相关报告；（五）指导内部审计部门独立开展外包审计工作；（六）董事会确定的其它职责。
第九条风险管理部门负责制定外包风险管理的制度，组织识别和评估信息科技外包风险，监督、评价外包管理工作，对外包执行情况进行监督检查，定期向高级管理层汇报信息科技外包活动相关风险情况。
银行信息科技风险评估报告概述随着科技的发展和银行对信息化程度的不断提升，银行信息科技风险成为我们必须关注的问题。
本报告旨在对银行信息科技风险进行全面评估，并提出相应的管理建议。
一、银行信息科技风险概述银行信息科技风险是指由于技术故障、人为操作失误、外部攻击等原因，导致银行信息系统出现故障、数据泄露或被篡改等风险。
这些风险可能会对银行的正常运营、客户信息安全和资金安全造成严重威胁。
二、银行信息科技风险评估方法评估银行信息科技风险的方法包括风险识别、风险分析和风险评价三个阶段。
1. 风险识别：通过审查银行信息系统及相关文档，识别可能存在的风险点，如系统漏洞、数据泄露等。
2. 风险分析：对识别出的风险进行定性和定量分析，确定风险发生的可能性和影响程度。
3. 风险评价：根据风险分析结果，确定银行信息科技风险的等级和优先级，为制定相应的管理措施提供依据。
三、银行信息科技风险评估结果通过对某大型银行的全面评估，我们发现以下几类主要的信息科技风险：1. 系统安全风险：部分系统存在漏洞，可能被黑客利用进行攻击。
2. 数据泄露风险：部分员工对敏感信息的保护意识不强，可能导致客户信息泄露。
3. 操作风险：部分员工操作不规范，可能导致系统故障或数据错误。
4. 自然灾害风险：自然灾害可能导致数据中心等基础设施损坏，影响信息系统正常运行。
5. 法律合规风险：部分业务可能存在合规问题，可能面临监管部门的处罚。
四、管理建议针对以上评估结果，我们提出以下管理建议：1. 加强系统安全防护：定期进行系统漏洞扫描和修复，加强防火墙和入侵检测系统的配置和监控。
2. 提高员工安全意识：定期开展员工安全培训和演练，加强敏感信息的保护和管理。
3. 规范员工操作流程：制定详细的操作规程，加强员工操作监督和审核，避免操作失误导致的问题。
4. 加强基础设施备份和容灾能力建设：建立完善的数据中心和容灾备份体系，确保在自然灾害等不可抗力因素影响下，信息系统能够快速恢复运行。
商业银行信息科技风险管理指引商业银行信息科技风险管理指引1.引言1.1 目的1.2 背景1.3 范围1.4 参考文献2.概述2.1 风险管理定义2.2 信息科技风险管理的重要性2.3 信息科技风险管理的目标3.风险识别与评估3.1 风险识别的方法3.2 风险评估的过程3.3 风险评估的工具和技术3.4 风险评估的结果4.风险监测与控制4.1 风险监测的目标4.2 风险监测的方法4.3 风险控制的原则4.4 风险控制的措施5.风险应对与应急5.1 应对风险的策略5.2 应急响应的准备工作5.3 应急响应的流程5.4 应急响应的演练6.风险监督与纠正6.1 风险监督的目的6.2 风险监督的方法6.3 风险纠正的流程6.4 风险纠正的效果评估7.信息科技风险管理的组织架构7.1 职责分工7.2 相关部门的合作与协调7.3 资源投入与调配8.员工培训与意识8.1 培训计划与内容8.2 培训方式与工具8.3 培训效果的评估8.4 员工风险意识的培养附件：附件1：风险识别与评估工具使用手册附件2：风险监测与控制流程图附件4：风险监督与纠正报告示例法律名词及注释：1.信息安全法：指中华人民共和国国家安全法。
2.数据隐私法：指中华人民共和国网络安全法。
3.商业秘密：指商业银行合法拥有的，不为公众所知悉，对其在国际市场竞争中具有实质性意义并且其合法权益得以保护的商业信息。
4.个人信息：指以电子或者其他方式记录的，能够单独或者与其他信息结合识别特定自然人身份的各种信息。
5.技术风险：指因信息技术的发展和应用而引起的可能对商业银行信息系统和信息技术基础设施以及信息资源等造成损失的各类风险。
村镇银行信息科技风险管理办法村镇银行信息科技风险管理办法（征求意见稿）第一章总则第一条为加强村镇银行信息科技风险管理，确保科技体系持续稳定运转，根据《商业银行信息科技风险管理指引》等有关法律、法规，制定本办法。
第二条信息科技风险管理是通过建立有效机制，实现对银行信息系统风险的识别、计量、评价、预警和控制，推动村镇银行业务创新，提高信息化管理水平，保障村镇银行业务持续平稳发展。
第二章信息科技风险管理组织架构第三条信息科技风险是指信息系统在规划、研发、建设、运行、维护、监控及退出过程中由于自然因素、人为因素、技术漏洞和管理缺陷产生的操作、法律和声誉等风险。
第四条发起行科技信息中心是村镇银行信息科技风险的主要管理部门，发起行科技信息中心有以下信息科技风险管理的权限和职责：（一）建立有效的信息科技风险管理管理架构，完善内部组织结构和工作机制，防范和控制信息科技风险管理；（二）贯彻执行国家有关信息系统相关法律、法规和技术标准，落实人民银行和银监会相关监管要求；（三）履行村镇银行信息系统的规划、研发、建设、运行、维护和管理职责，建立、健全村镇银行信息科技风险管理相关规章、制度，并严格执行；（四）负责村镇银行信息系统的规划、研发、建设、运行、维护和监控等工作，提供村镇银行信息系统日常信息服务和运行技术支持；（五）负责指导和监督村镇银行科技部门落实有关信息科技风险管理的各项规章制度；（六）发起行科技信息中心安全科是村镇银行信息科技风险管理的牵头部门,发起行科技信息中心各科室按其职责范围承担相应工作。
第三章信息科技风险具体控制要求第五条信息科技总体风险点是指信息系统在策略、制度、机房、软件、硬件、网络、数据、文档等方面影响全局或共有的风险。
包括以下风险点：（一）缺少信息系统风险管理策略；（二）自然灾害、运行环境变化；（三）信息系统相关规章制度、技术规范、操作规程不完善；（四）信息安全标准化工作不符合国家相关规定；（五）缺乏信息安全风险评估机制；（六）数据中心机房物理安全；（七）使用盗版软件及自有成果的知识产权保护；（八）电子设备自身运行；（九）主机与网络运行；（十）网络安全；（十一）密码安全；（十二）数据加密安全；（十三）信息系统配置参数管理；（十四）数据管理；（十五）突发事件响应；（十六）信息系统故障导致影响银行信誉；（十七）网上银行安全。
商业银行信息科技风险管理指引商业银行信息科技风险管理指引1、引言1.1 目的1.2 范围1.3 定义2、风险管理框架2.1 风险识别和评估2.1.1 信息系统漏洞评估2.1.2 安全事件监测和响应2.2 风险治理与策略2.2.1 监督与审查机制2.2.2 风险管理策略的制定与更新2.3 风险控制与监测2.3.1 访问控制管理2.3.2 风险评估与监测工具2.4 风险通报与沟通2.4.1 内部风险通报机制2.4.2 外部风险信息共享3、风险识别与评估3.1 业务风险3.1.1 客户信息安全风险3.1.2 交易运营风险3.2 技术风险3.2.1 网络安全风险3.2.2 数据管理风险3.3 外部环境风险3.3.1 法律法规风险3.3.2 自然灾害风险4、风险治理与策略4.1 信息安全组织与责任4.1.1 信息安全管理组织架构 4.1.2 信息安全责任分工4.2 风险管理策略4.2.1 信息安全目标与指标 4.2.2 风险管理流程4.3 内部控制与合规要求4.3.1 内部控制流程与制度4.3.2 合规性要求与监督5、风险控制与监测5.1 访问控制与身份认证5.1.1 用户权限管理5.1.2 口令与密钥管理5.2 安全事件与漏洞监测5.2.1 安全事件响应流程 5.2.2 漏洞评估与修复5.3 备份与恢复5.3.1 数据备份策略5.3.2 灾难恢复计划6、风险通报与沟通6.1 内部风险通报6.1.1 内部风险报告机制6.1.2 内部风险沟通会议6.2 外部风险信息共享6.2.1 外部风险信息收集与分析6.2.2 合作伙伴与监管机构沟通附件：- 附件1：信息安全管理组织架构图- 附件2：风险评估工具使用指南法律名词及注释：1、信息安全：指对信息资源进行保护，确保其机密性、完整性和可用性的一系列措施和手段。
2、风险管理：指通过识别、评估和应对各类风险，以达到有效控制和降低风险水平的过程。
3、访问控制：指对系统资源的使用进行控制，确保只有经授权的用户、程序和进程能够访问资源。
银行业信息科技风险管理指引—(正式版)1. 引言本指引旨在为银行业提供信息科技风险管理的指导，以确保银行业能够有效管理和控制信息科技风险，保障金融系统的安全和稳定运行。
2. 信息科技风险概述信息科技风险是指由于信息系统的使用和依赖，银行面临的各种可能影响信息系统可用性、完整性和保密性的威胁。
3. 信息科技风险管理原则信息科技风险管理应遵循以下原则：- 风险识别与评估：银行应对信息科技风险进行全面的识别和评估，确定风险的严重性和可能造成的影响。
- 风险治理与控制：银行应制定相应的风险治理措施，并建立合理的风险控制机制。
- 持续监测与改进：银行应定期监测信息科技风险，及时进行改进和调整。
- 信息共享与合作：银行应与相关机构和其他银行共享风险信息，进行合作，共同应对信息科技风险。
4. 信息科技风险管理框架银行应建立完善的信息科技风险管理框架，包括以下几个方面：- 风险治理结构：银行应建立明确的信息科技风险治理结构，明确责任和职责。
- 风险识别与评估：银行应建立科学的信息科技风险识别和评估方法，及时识别并评估风险。
- 风险控制与防范：银行应制定有效的控制措施和防范措施，减少和防止信息科技风险的发生。
- 事件响应与恢复：银行应建立完善的事件响应和恢复机制，及时响应和恢复信息科技风险事件。
- 管理与监测：银行应建立健全的信息科技风险管理和监测体系，确保信息科技风险的有效管理。
5. 信息科技风险管理的实施银行应制定详细的信息科技风险管理方案，并根据实际情况进行有效的实施。
方案应包括风险识别、评估、控制、防范、监测和响应等内容。
6. 信息科技风险管理的监督与评估相关监管机构应对银行的信息科技风险管理进行定期监督和评估，提供指导和支持，确保信息科技风险得到有效管理。
7. 附则本指引自发布之日起生效，并适用于银行业的信息科技风险管理工作。
银行应根据本指引的要求，进行相应的风险管理工作。
以上内容仅为简要介绍，详细内容请参阅《银行业信息科技风险管理指引—(正式版)》全文。
商业银行信息科技风险管理指引第一章总则第一条为加强商业银行信息科技风险管理，根据《中华人民共和国银行业监督管理法》、《中华人民共和国商业银行法》、《中华人民共和国外资银行管理条例》，以及国家信息安全相关要求和有关法律法规，制定本指引。
第二条本指引适用于在中华人民共和国境内依法设立的法人商业银行。
政策性银行、农村合作银行、城市信用社、农村信用社、村镇银行、贷款公司、金融资产管理公司、信托公司、财务公司、金融租赁公司、汽车金融公司、货币经纪公司等其他银行业金融机构参照执行。
第三条本指引所称信息科技是指计算机、通信、微电子和软件工程等现代信息技术，在商业银行业务交易处理、经营管理和内部控制等方面的应用，并包括进行信息科技治理，建立完整的管理组织架构，制订完善的管理制度和流程。
第四条本指引所称信息科技风险，是指信息科技在商业银行运用过程中，由于自然因素、人为因素、技术漏洞和管理缺陷产生的操作、法律和声誉等风险。
第五条信息科技风险管理的目标是通过建立有效的机制，实现对商业银行信息科技风险的识别、计量、监测和控制，促进商业银行安全、持续、稳健运行，推动业务创新，提高信息技术使用水平，增强核心竞争力和可持续发展能力。
第二章信息科技治理第六条商业银行法定代表人是本机构信息科技风险管理的第一责任人，负责组织本指引的贯彻落实。
第七条商业银行的董事会应履行以下信息科技管理职责：（一）遵守并贯彻执行国家有关信息科技管理的法律、法规和技术标准，落实中国银行业监督管理委员会（以下简称银监会）相关监管要求。
（二）审查批准信息科技战略，确保其与银行的总体业务战略和重大策略相一致。
评估信息科技及其风险管理工作的总体效果和效率。
（三）掌握主要的信息科技风险，确定可接受的风险级别，确保相关风险能够被识别、计量、监测和控制。
（四）规范职业道德行为和廉洁标准，增强内部文化建设，提高全体人员对信息科技风险管理重要性的认识。
（五）设立一个由来自高级管理层、信息科技部门和主要业务部门的代表组成的专门信息科技管理委员会，负责监督各项职责的落实，定期向董事会和高级管理层汇报信息科技战略规划的执行、信息科技预算和实际支出、信息科技的整体状况。
ⅩⅩ银行信息科技外包风险评估工作实行方案为深入理解和掌握信息科技外包风险状况, 增进信息科技外包健康发展, 有力推进信息科技外包风险管理长期有效机制建设。
根据《银行业金融机构信息科技外包风险监管指导》、《河南银监局办公室转发中国银监会办公厅有关开展信息科技外包风险专题治理工作旳告知》（豫银监办发〔2023〕109号）规定, 我行决定对信息科技外包进行风险评估。
现结合我行信息科技外包实际, 特制定本实行方案。
一、评估旳背景和目旳（一）开展信息科技外包风险评估旳背景。
目前个别银行由于信息科技项目外包, 银行疏于管控, 缺乏有效控制,外包机构技术保障局限性, 导致客户信息泄露, 资金安全面临风险。
此外, 外包服务中断, 易形成数据丢失风险。
为控制风险, 我行拟通过有环节地、循序渐进地推进信息科技外包风险评估, 全面识别目前面临旳重要风险和潜在风险, 针对不一样环节出现旳风险和风险程度及时采用措施, 有效防控风险, 构建科学旳风险管理机制。
（二）开展信息科技外包风险评估旳意义。
通过开展信息科技外包风险评估, 可以从制度、流程、协议等方面查找并发现我行重要外包项目存在旳缺陷和局限性, 并通过完善制度、优化流程、修改协议等措施, 提高我行信息科技外包整体风险防控能力。
（三）评估目旳。
1、清查信息科技外包领域已发生旳各类风险事件, 搜集损失数据, 深入分析导致风险事件发生旳内外部原因。
2、以风险为导向, 全面排查信息科技外包项目运行中存在旳各类风险隐患, 查找风险管理中存在旳多种问题。
3、在定性定量分析风险事件和损失、风险隐患、风险管理状况旳基础上, 判断未来内外部环境变化后风险变化趋势, 多角度、系统性地提出整改意见, 建立健全风险控制机制, 强化风险防备, 增进业务优化和发展。
二、评估对象及范围结合《河南银监局办公室转发中国银监会办公厅有关开展信息科技外包风险专题治理工作旳告知》（豫银监办发〔2023〕109号）规定及我行信息科技外包实际, 本次外包风险评估仅限科技信息部、运行管理部、授信管理部、计划财务部、小贷事业部以及电子银行部6个部门业务系统外包活动。
银行业信息科技风险管理指引1. 引言银行业信息科技风险管理指引是为了帮助银行机构有效识别、评估和管理信息科技风险而制定的一套指导原则和方法。
本指引旨在帮助银行机构建立健全的信息科技风险管理体系，确保信息系统和技术的安全性、稳定性和可靠性，以应对不断变化的信息科技环境和风险挑战。
2. 信息科技风险管理框架2.1 风险识别在风险识别阶段，银行机构需要全面了解其信息科技系统的组成、功能和关联性，识别可能存在的风险。
这包括对硬件设备、软件系统、网络架构以及数据存储和传输等方面进行风险识别。
2.2 风险评估在风险评估阶段，银行机构需要对已识别的风险进行评估，确定其对业务运营和信息系统安全的潜在影响。
评估的指标包括风险的可能性、影响程度以及紧急程度等。
2.3 风险控制在风险控制阶段，银行机构需要采取相应的措施来降低风险的发生概率和影响程度。
这包括制定合理的安全策略和规程，建立健全的信息安全管理体系，加强对信息系统的监控和防护措施等。
2.4 风险监测与应对在风险监测与应对阶段，银行机构需要建立有效的监测机制，及时发现和识别新的风险，并采取相应的应对措施。
这包括建立安全事件响应机制，及时处理和处置安全事件，以减少损失和影响。
3. 信息科技风险管理的关键要素3.1 领导支持与承诺银行机构的高层领导应给予信息科技风险管理足够的重视和支持，并制定相应的政策和目标，确保风险管理工作得到有效执行。
3.2 风险管理团队银行机构应组建专门的信息科技风险管理团队，负责制定和执行风险管理策略，协调各部门的合作，确保风险管理工作的顺利进行。
3.3 信息科技风险评估方法银行机构应采用科学有效的方法进行信息科技风险评估，包括定性和定量分析，以全面了解风险的可能性和影响程度。
3.4 安全策略与规程银行机构应制定合理的安全策略和规程，包括网络安全、数据安全、应用系统安全等方面的规定，以确保信息系统和技术的安全性。
3.5 信息系统监控与防护银行机构应建立有效的信息系统监控和防护机制，包括入侵检测系统、防火墙、安全审计等，以及及时更新和修补系统漏洞。
XXXX银行信息科技风险管理办法总则为XXXX银行有效防范银行运用信息系统进行业务处理、经营管理和内部控制过程中产生的风险，促进我行各项业务安全、持续、稳健运行，根据《中华人民共和国银行业监督管理法》、《中华人民共和国商业银行法》、《商业银行信息科技风险管理指引》、《营口沿海银操作风险管理指引》，以及国家信息安全相关要求和有关法律法规，制定本管理办法。
本管理办法所称信息科技是指计算机、通信、微电子和软件工程等现代信息技术，在我行业务交易处理、经营管理和内部控制等方面的应用，并包括进行信息科技治理，建立完整的管理组织架构，制订完善的管理制度和流程。
本管理办法所称信息科技风险，是指信息科技在我行运用过程中，由于自然因素、人为因素、技术漏洞和管理缺陷产生的操作、法律和声誉等风险。
信息科技风险管理的目标是通过建立有效的机制，实现对我行信息科技风险的识别、计量、监测和控制，促进我行安全、持续、稳健运行，推动业务创新，提高信息技术使用水平,增强核心竞争力和可持续发展能力。
机构职责根据我行信息科技治理的要求,法定代表人是本机构信息科技风险管理的第一责任人，负责组织本管理办法的贯彻落实, 董事会应履行以下信息科技管理职责：遵守并贯彻执行国家有关信息科技管理的法律、法规和技术标准，落实中国银行业监督管理委员会（以下简称银监会）相关监管要求。
审查批准信息科技战略，确保其与银行的总体业务战略和重大策略相一致.评估信息科技及其风险管理工作的总体效果和效率.掌握主要的信息科技风险，确定可接受的风险级别，确保相关风险能够被识别、计量、监测和控制.规范职业道德行为和廉洁标准,增强内部文化建设，提高全体人员对信息科技风险管理重要性的认识.设立一个由来自高级管理层、信息科技部门和主要业务部门的代表组成的专门信息科技管理委员会,负责监督各项职责的落实，定期向董事会和高级管理层汇报信息科技战略规划的执行、信息科技预算和实际支出、信息科技的整体状况。
某银行信息科技风险识别与评估管理办法
第一章总则
第一条为规范信息科技风险评估工作，提高某银行信息科技风险管理水平，促进我行业务安全、持续、稳健发展，根据国家信息安全法律、法规及银行业信息科技监管要求及《某银行信息科技风险管理策略》，结合我行风险管理实际情况，特制定本办法。
第二条本办法属于信息科技风险类“管理办法”，适用于某银行信息科技工作全过程的风险评估。
风险评估对象包括信息科技组织、管理过程和信息资产。
第三条信息科技风险，是指信息科技在合规管理、支持业务创新和业务运营过程中，由于管理流程及资源缺失或不足、人为因素和技术漏洞产生的操作、法律、声誉等风险。
第四条信息科技风险评估是指在信息科技风险事件发生之前或之后（但还没有结束），该事件给信息系统的研发、生产等各个方面造成的影响和损失的可能性进行量化评估的工作。
第五条本办法所指的信息科技风险类型及来源包括但不限于以下内容：
(一) 信息科技总体风险是指信息科技在策略、制度、物理环境、软件、硬件、网络、数据、文档等方面影响全局或共有的风险。
(二) 信息系统风险是指信息系统在规划、研发、建设、运行、维护、监控及下线过程中由于技术和管理缺陷产生的风险。
(三) 研发风险是指信息系统在研发过程中组织、规划、需求、分析、设计、编程、测试和投产等环节产生的风险。
(四) 运行维护风险是指信息系统在运行与维护过程中访问管理、操作管理、变更管理、机房管理和事件管理等环节产生的风险。
(五) 外包风险是指本行将信息系统的规划、研发、建设、运行、维护、监控等委托给业务合作伙伴或外部技术供应商时形成的风险。
第六条信息科技风险评估是识别、计量、评价信息科技风险的活动，旨在客观反映信息科技对我行发展战略的支撑程度。
第七条风险评估应遵循“全面覆盖、突出重点、持续跟进”的原则。
第八条总行、一级分行的信息科技风险评估（含自评估）工作应遵照本办法执行。
第二章角色分工
第九条风险评估可由总行信息科技管理委员会或一级分行发起，承担机构是风险管理部，风险管理部负责组建风险评估实施团队。
风险评估实施团队由管理层、相关业务和技术骨干等人员组成，评估工作角色分为：评估管理人员、评估人员、评估分析人员。
（一）评估管理人员由风险管理部信息科技风险管理岗担任，负责组织、管理、监督风险评估任务，包括：
1. 制定风险评估任务计划
2. 设计风险评估方案
3. 审核风险评估报告
4. 确认风险处置建议
5. 跟踪风险评估任务进度
6. 控制风险评估任务质量
（二）评估人员负责按照风险评估任务要求，收集并提供信息和证据，如
实反映信息科技工作现状。
评估人员由评估对象所涉及的相关技术或业务骨干人员担任；
（三）评估分析人员负责汇总、整理和分析采集到的信息与证据材料，编写风险评估报告。
评估分析人员由行内经验丰富的专业人员担任，必要时可聘请业内专业人员。
第十条在同一风险评估任务中，评估实施团队成员不少于三人，评估管理人员和评估分析人员不得兼任评估人员。
第三章风险评估计划
第十一条总行和一级分行每年度应开展一次整体信息科技风险评估，两次以上专项信息科技风险评估。
第十二条信息科技风险评估要以信息科技风险监测信息、数据以及其他有关信息为基础，遵循科学、透明和个案处理的原则进行。
第十三条出现以下情况时，应结合本单位以往风险评估情况，确定是否启动专项信息科技风险评估：
（一）新系统上线后或已有系统进行重大变更；
（二）信息科技运行中发现重大纰漏或隐患；
（三）内部或同业出现重大信息科技事件；
（四）信息科技审计中发现重大问题；
（五）监管机构发布风险提示；
（六）其他情况。
第十四条一级分行根据总行风险评估工作要求，结合本行实际情况制定风险评估计划，并报总行备案。
第四章风险识别与评估方法
第十五条风险评估通过人工评估或自动化工具测评等手段识别、分析支撑 IT 目标的流程和资源中存在的缺失或不足，判断风险优先级，提出风险处置建议。
第十六条总行信息科技管理委员会或一级分行发起风险评估任务，并下达任务书。
评估管理人员依据任务书组织编写风险评估任务计划书和风险评估方案。
第十七条评估管理人员组织人员依据评估对象的业务目标识别IT 服务目标，进而分析支撑IT 目标的流程和资源，并针对流程要素和资源要素设计风险检查表。
第十八条评估人员依据风险检查表，采用人工或自动化工具对评估对象的信息科技状况进行信息收集。
信息收集可采用调查、检查、安全测试等方式：（一）调查包括问卷调查、远程访谈、现场访谈等；
（二）检查包括文档检查、代码检查、流程检查等；
（三）安全测试包括人工测试、自动化测试以及综合性渗透测试等。
第十九条评估分析人员采用定性或定量的计算方法，依据各类风险对实现IT 目标的影响，计算出评估对象的风险优先值或级别，并进行分析：（一）风险成因分析，分析诱发风险的主观因素和客观因素。
主观因素包括流程缺失、控制不足或无效等；客观因素包括资源缺乏、内外环境影响等。
（二）风险占比分析，依据对IT 目标的影响程度，分析评估对象当前状态下各类、各级风险占比情况；
（三）风险对比分析，对同次任务中不同机构的风险状态进行对比，分析
各类风险在不同机构的分布状况及影响；
（四）风险趋势分析，对不同时期的相同任务结果进行对比，分析同一风险的增强或减弱情况，了解风险的发展趋势。
第二十条风险分析可采用以下手段：
（一）专家经验；
（二）风险分析模型；
（三）风险分析工具。
第二十一条评估分析人员针对风险评估任务中揭示的风险类型和状态，结合组织机构、业务需求和安全要求，提出风险处置建议，包括降低、转移或消除风险的措施、预期效果等。
第二十二条评估分析人员编写风险评估报告，内容包括风险评估任务描述、风险分析、风险处置建议等。
评估报告经评估管理人员审核后提交信息科技管理委员会。
第二十三条风险评估过程(附件1)分为三个阶段：风险评估准备、信息收集和风险识别分析。
第五章风险评估准备
第二十四条根据风险评估计划，总行信息科技管理委员会或一级分行提出信息科技风险评估任务，编制风险评估任务书（附件 2 ），明确任务目标、评估对象、评估范围、任务起止时间、风险管理部门等。
第二十五条风险管理部组建风险评估团队，指定风险评估管理人员、风险评估人员和风险评估分析人员，并授权风险评估团队开展风险评估工作。
第二十六条评估管理人员组织制定风险评估任务计划书（附件 3），明确风险评估实施活动的计划安排，主要包括：
（一）团队组织：包括成员名单、角色、职责等内容；
（二）工作计划：描述各阶段的工作安排，包括工作内容、
时间进度和各阶段成果清单等内容。
第二十七条评估管理人员组织设计评估方案，评估方案包括风险检查表（附件4 ）、信息收集方式、风险分析方法等。
第二十八条设计风险检查表时遵循以下过程：
（一）分析评估对象的业务目标和IT服务目标；
（二）识别实现IT 目标的工作流程和资源；
（三）识别影响工作流程和资源中的关键因素，主要考虑各流程要素的活动内容、关联关系、流程目的、实现方式、所需资源等；
（四）根据关键因素设计风险检查项、检查指标和评价权重，形成风险检查表。
第二十九条评估管理人员通过风险评估启动会等形式启动具体风险评估工作。
第六章信息收集
第三十条评估管理人员将风险检查表分发给评估人员，并告知信息收集方法及填写要求。
第三十一条评估人员通过调阅文档、收集日志、现场访谈、工具测评等方式获取风险评估所需信息。
信息内容包括但不限于：IT 制度及执行情况、技术文档、以往审计报告、风险管理报告、日志记录、访谈记录、测试报告等。
第三十二条评估人员根据采集的信息，填写风险检查表，并保留证据。
第三十三条评估管理人员督查信息收集进展情况，按计划收回风险检查表，并审核填报信息质量。
必要时，可要求评估人员补充信息和附加证据。
第三十四条评估管理人员将风险检查表提交评估分析人员。
第七章风险分析
第三十五条评估分析人员按评估方案确定的风险分析方法对风险检查表进行汇总、梳理，评定风险等级，分析风险成因，提出风险处置建议，形成风险评估报告（附件5 ）。
报告包括但不限于以下内容：
（一）风险评估任务概述
（二）风险评估活动描述
（三）风险分析，包括总体风险分析、风险占比分析、风险对比分析、风险趋势分析
（四）风险成因分析
（五）风险处置建议
（六）详细风险列表
第三十六条评估分析人员将风险评估报告提交评估管理人员。
第三十七条评估管理人员定期督查风险分析进展情况，指导风险分析工作，组织审核风险评估报告，形成正式报告提交风险管理部负责人。
第三十八条风险管理部将风险评估报告上报信息科技管理委员会，并通过风险评估任务总结会等形式，通报风险评估情况。
第三十九条风险管理部将风险评估资料归档管理。
第八章附则
第四十条本管理办法由某银行总行制定并负责解释和修订。
第四十一条本管理办法自发布之日起执行。
