第十四期法律知识点(信息科技、业务连续性、外包风险管理系统)

浅析《银行保险机构信息科技外包风险监管办法》一、前言2021年12月30日，中国银行保险监督管理委员会（以下简称“银保监会”）印发了《银行保险机构信息科技外包风险监管办法》（银保监办发〔2021〕141号）（以下简称“《办法》”或“2021”），于公布之日起实施。

《银行业金融机构信息科技外包风险监管指引》（银监发〔2013〕5号，以下简称“《监管指引》”或“2013”）、《中国银监会办公厅关于加强银行业金融机构信息科技非驻场集中式外包风险管理的通知》（银监办发〔2014〕187号，以下简称“2014”）、《中国银监会办公厅关于开展银行业金融机构信息科技非驻场集中式外包监管评估工作的通知》（银监办发〔2014〕272号，以下同时简称“2014”）于《办法》实施之日同时废止。

《办法》的出台，将对银行保险机构及银保监会及其派出机构监管的其他金融机构的信息科技外包活动产生重大影响。

本文旨在对《办法》的重点修订内容以新旧法规对比的方式进行解读，以飨读者。

二、新旧法规对比（一）整体结构与《监管指引》相比，《办法》的内容结构有所调整，篇幅有精简，从信息科技外包的总体治理、外包准入环节、监控评价环节以及与信息科技外包相关的风险管控方面提出监管（二）扩大适用范围相较于《监管指引》，《办法》第二条明确将保险集团（控股）公司、保险公司、保险资产管理公司、金融资产管理公司纳入适用范围，并要求银保监会及其派出机构监管的其他（三）信息科技外包的释义《办法》中，信息科技外包的管理范围有所扩展，包括了银行保险机构与其他第三方合（五）信息科技外包实施原则《办法》中，实施信息科技外包的原则内容有所增加，进一步强调不得将信息科技管理责任、网络安全主体责任外包、加强重要数据与个人信息保护、强调事中监督等。

与《监管指引》相比，《办法》未明确列举可以进行信息科技外包的业务类型，而是采用负面清单的形式明确不得进行信息科技外包的范围：《办法》明确要求银行保险机构在进行信息科技外包时应将“不得将信息科技管理责任、网络安全主体责任进行外包”作为原则之一；信息科技外包治理方面，《办法》明确规定银行保险机构应当明确不能外包的信息科技职能。

商业银行信息科技风险管理指引第一章总则第一条为加强商业银行信息科技风险管理，根据《中华人民共和国银行业监督管理法》、《中华人民共和国商业银行法》、《中华人民共和国外资银行管理条例》，以及国家信息安全相关要求和有关法律法规，制定本指引。

第二条本指引适用于在中华人民共和国境内依法设立的法人商业银行。

政策性银行、农村合作银行、城市信用社、农村信用社、村镇银行、贷款公司、金融资产管理公司、信托公司、财务公司、金融租赁公司、汽车金融公司、货币经纪公司等其他银行业金融机构参照执行。

第三条本指引所称信息科技是指计算机、通信、微电子和软件工程等现代信息技术，在商业银行业务交易处理、经营管理和内部控制等方面的应用，并包括进行信息科技治理，建立完整的管理组织架构，制订完善的管理制度和流程。

第四条本指引所称信息科技风险，是指信息科技在商业银行运用过程中，由于自然因素、人为因素、技术漏洞和管理缺陷产生的操作、法律和声誉等风险。

第五条信息科技风险管理的目标是通过建立有效的机制，实现对商业银行信息科技风险的识别、计量、监测和控制，促进商业银行安全、持续、稳健运行，推动业务创新，提高信息技术使用水平，增强核心竞争力和可持续发展能力。

第二章信息科技治理第六条商业银行法定代表人是本机构信息科技风险管理的第一责任人，负责组织本指引的贯彻落实。

第七条商业银行的董事会应履行以下信息科技管理职责：（一）遵守并贯彻执行国家有关信息科技管理的法律、法规和技术标准，落实中国银行业监督管理委员会（以下简称银监会）相关监管要求。

（二）审查批准信息科技战略，确保其与银行的总体业务战略和重大策略相一致。

评估信息科技及其风险管理工作的总体效果和效率。

（三）掌握主要的信息科技风险，确定可接受的风险级别，确保相关风险能够被识别、计量、监测和控制。

（四）规范职业道德行为和廉洁标准，增强内部文化建设，提高全体人员对信息科技风险管理重要性的认识。

（五）设立一个由来自高级管理层、信息科技部门和主要业务部门的代表组成的专门信息科技管理委员会，负责监督各项职责的落实，定期向董事会和高级管理层汇报信息科技战略规划的执行、信息科技预算和实际支出、信息科技的整体状况。

业务连续性与风险标准的角色在世界范围内提高标准的地位行动纲要关于外界风险的认识近几年有了更多的认识波动，再加上由公司管理需求提供的监管动力，已经有效的将风险管理提上公司管理的日程。

更改风险管理的态度也将直接导致出现一个全盘的积极的态度来管理风险的出现。

在这个演化过程中，业务持续性管理已经成为一个组织风险规避战略日益重要的组成部分。

发展中的情报安全性和灾难管理领域，有效的业务持续性管理可以降低一个组织在业务工作过程和操作中发生风险事件的机率，并提供最艰难情况下的声誉恢复能力。

然而缺乏方法的一致性，混乱的定义和条款，以及对业务持续性管理战略无力的标准检查程序，都已经阻碍了它的发展，这就导致需要一个正式的标准。

基于行之有效的方法基础，BS25999业务持续性管理确立了有效的业务连续性管理过程、原则和术语。

风险管理在一个企业议程中不断上升反映了一个组织包括公众和个人在内，他们关于风险预测和需要有效的风险规避管理不断增强的认知。

备受瞩目的时间，诸如安然，911，卡塔里娜飓风，英国夏季的洪水，……一些事件在调整结构实施的影响方面，如萨班斯法案，巴塞尔第二和特恩布尔报告，已经在风险管理方面形成有力的态度和达成更大的会议共识。

更加具有前瞻性的组织在他们的风险管理和发展策略方面越来越具有前瞻性，而不是简单的依赖部门的参数设置。

与此同时，监管机构在立场方面发生了巨大变化，更加趋向基于方法管理的原则化，此举也让组织自身在风险管理战略方面承担更大的责任。

茱莉亚。

格雷厄姆，DLA的首席风险官和BS31100执业守则风险管理委员会主席，认为监管机构的这一态度转变是非常积极的一步，因为这意味着一个组织能够按照他们自己的环境，性质，规模，以及他们业务延伸的复杂度和管辖权来进行风险管理。

风险标准2008年2月，BSI发布了BS31100风险管理实践的的第二稿。

这个标准旨在为风险管理提供一个指导在原则，模型，框架和程序方面，以便辅助组织实现其风险管理的目标。

业务连续性和风险管理实施办法共13页（包括封面）目录一、目的 2二、定义 2三、流程 3四、范围 5五、影响业务连续性的风险管理 5六、重要电话号码 6七、重大变更时对客户的通知 6八、业务连续性计划（BCP） 8业务连续性和风险管理实施办法一、目的为了使公司有效控制业务实施中遇到的各种风险，从而实现保证公司和客户利益，保证公司业绩持续增长。

二、定义2.1 风险管理计划风险管理计划是由生产部门和质量部门定期编制和维护。

该计划明确定义风险管理行动范围、目的，风险管理要求、风险等级评估标准等等。

2.2 风险管理登记表风险管理登记表用于记录识别出来的风险，针对已识别的风险提出降低风险的行动计划，通过定期回顾和评估，将高风险逐步降低到低风险，采取有效行动来避免风险发生，保证公司业务按既定计划高效运行。

2.3 业务连续性计划业务连续性计划是保证公司业务连续性管理的工具文件，它是由生产部门和质量部门负责定期编制和维护的文件。

该文件针对风险要识别出来的对公司存在潜在威胁的影响因素，并为恢复及有效响应能力的建立提供了一个机制，来保障公司和关键客户的利益。

业务连续性管理流程包括应急反应流程、事件决策及业务恢复、培训、监测、检查和计划维护等。

三、流程公司风险协调员组织建立公司级风险团队，重点识别并管理风险项目的缓解和消除行动，公司级风险团队成员分别来自于公司各个业务部门，他们将代表各个业务部门分析、提出风险项目。

公司风险管理团队负责识别、确认所有影响公司业务的风险项目，公司风险协调员负责组织将确认出来的风险项目记录到风险登记表中。

公司风险协调员分别组织管理团队对风险项目进行评估，按照风险评分标准确定风险优先级别，汇总出高风险项目提交公司经理层讨论认可。

风险项目的范围包括但不限于：∙产品, 设备、设施或人员（独苗岗位）∙替代设备备份∙关键过程或供应商风险∙计算机数据备份∙计算机信息系统备份使用如下标准进行评估评估初始 P (可能性) 和初始I（影响）和需要采取的行动“风险矩阵”图上的行和列分别表示初始 P（概率）和初始I（影响）。

第40讲外包风险管理、信息科技风险管理第六节外包风险管理一、外包的定义及原则1.外包的定义•外包是指商业银行将原来由自身负责处理的某些业务活动委托给服务提供商进行持续处理的行为•服务提供商包括独立第三方，商业银行母公司或其所属集团设立子公司、关联公司或附属机构。

•外包不能消灭风险，但通过将该业务的管理置于经验和技能更丰富的第三方手中，可以降低商业银行原有风险2.外包应遵循的原则•董事会和高级管理层承担外包活动的最终责任•制定外包的风险管理框架以及相关制度，并将其纳入全面风险管理体系•根据审慎经营原则制定其外包战略发展规划，确定与其风险管理水平相适宜的外包活动范围•对于战略管理、核心管理以及内部审计等职能不宜外包★★二、外包风险管理主要框架★★二、外包风险管理主要框架（一）商业银行外包管理组织结构1.董事会•审议批准外包的战略发展规划•审议批准外包的风险管理制度•审议批准本机构的外包范围及相关安排•定期审阅本机构外包活动相关报告•定期安排内部审计，确保审计范围涵盖所有的外包安排应用分析【真题演练·多选】下列关于董事会的说法正确的是（ ）。

A．审议批准外包的战略发展规划B．审议批准外包的风险管理制度C．制定外包风险管理的政策、操作流程和内控制度D．审议批准本机构的外包范围及相关安排E．确定外包业务的范围及相关安排【答案】ABD【解析】董事会负责审议批准外包的战略发展规划；审议批准外包的风险管理制度；审议批准本机构的外包范围及相关安排；定期审阅本机构外包活动相关报告；定期安排内部审计，确保审计范围涵盖所有的外包安排。

2.高级管理层•负责制定外包战略发展规划•制定外包风险管理的政策、操作流程和内控制度•确定外包业务的范围及相关安排•确定外包管理团队职责，并对其行为进行有效监督3.外包管理团队••向高级管理层提出有关外包活动发展和风险管控的意见和建议•在发现外包服务提供商业的业务活动存在缺陷时，采取及时有效的措施应用分析【真题演练·多选】商业银行外包管理的组织架构包括（　）。

`大洼恒丰村镇银行信息科技外包风险管理办法大洼恒丰村镇银行信息科技部变更履历*变化状态：C——创建，A——增加，M——修改，D——删除目录第一章总则 (4)第二章外包管理组织架构 (5)第三章信息科技外包战略及风险管理 (6)第一节信息科技外包战略 (6)第二节信息科技外包风险管理 (7)第四章信息科技外包管理 (8)第一节外包风险评估及准入 (8)第二节服务提供商尽职调查 (10)第三节外包服务合同及要求 (10)第四节外包服务安全管理 (12)第五节外包服务监控与评价 (13)第六节外包服务中断与终止 (14)第八章监督管理 (17)第九章附则 (18)第一章总则第一条为规我行的信息科技外包活动，降低信息科技外包风险，根据《中华人民国银行业监督管理法》、《中华人民国商业银行法》、《银行业金融机构信息科技外包风险监管指引》等法律法规，制定本办法。

第二条本办法所称信息科技外包是指我行将原本由自身负责处理的信息科技活动委托给服务提供商进行处理的行为，包含项目外包、人力资源外包等形式。

包括以下类型：（一）研发咨询类外包：科技管理及科技治理等咨询设计外包，规划、需求、系统开发、测试外包；（二）系统运行维护类外包：包括数据中心（灾备中心）、机房配套设施、网络、系统的运维外包，自助设备、POS机等远程终端及办公设备的运维外包；（三）业务外包中的信息科技活动：市场拓展、业务操作、企业管理、资产处置等外包中的系统开发、运行维护和数据处理活动。

第三条我行应将信息科技外包管理纳入全面风险管理体系，建立与本行信息科技战略目标相适应的外包管理体系，控制或降低由于外包而引发的风险。

第四条我行在实施信息科技外包时应当坚持以下原则：（一）以不妨碍核心能力建设、积极掌握关键技术为导向；（二）保持外包风险、成本和效益的平衡；（三）强调外包风险的事前控制，保持管控力度；（四）根据外包管理及技术发展趋势，持续改进外包策略和措施。

第五条我行在实施信息科技外包时，不得将信息科技管理责任外包。

商业银行信息科技风险管理指引第一章总则第一条为加强商业银行信息科技风险管理，根据《中华人民共和国银行业监督管理法》、《中华人民共和国商业银行法》、《中华人民共和国外资银行管理条例》，以及国家信息安全相关要求和有关法律法规，制定本指引。

第二条本指引适用于在中华人民共和国境内依法设立的法人商业银行。

政策性银行、农村合作银行、城市信用社、农村信用社、村镇银行、贷款公司、金融资产管理公司、信托公司、财务公司、金融租赁公司、汽车金融公司、货币经纪公司等其他银行业金融机构参照执行。

第三条本指引所称信息科技是指计算机、通信、微电子和软件工程等现代信息技术，在商业银行业务交易处理、经营管理和内部控制等方面的应用，并包括进行信息科技治理，建立完整的管理组织架构，制订完善的管理制度和流程。

第四条本指引所称信息科技风险，是指信息科技在商业银行运用过程中，由于自然因素、人为因素、技术漏洞和管理缺陷产生的操作、法律和声誉等风险。

第五条信息科技风险管理的目标是通过建立有效的机制，实现对商业银行信息科技风险的识别、计量、监测和控制，促进商业银行安全、持续、稳健运行，推动业务创新，提高信息技术使用水平，增强核心竞争力和可持续发展能力。

第二章信息科技治理第六条商业银行法定代表人是本机构信息科技风险管理的第一责任人，负责组织本指引的贯彻落实。

第七条商业银行的董事会应履行以下信息科技管理职责：（一）遵守并贯彻执行国家有关信息科技管理的法律、法规和技术标准，落实中国银行业监督管理委员会（以下简称银监会）相关监管要求。

（二）审查批准信息科技战略，确保其与银行的总体业务战略和重大策略相一致。

评估信息科技及其风险管理工作的总体效果和效率。

（三）掌握主要的信息科技风险，确定可接受的风险级别，确保相关风险能够被识别、计量、监测和控制。

（四）规范职业道德行为和廉洁标准，增强内部文化建设，提高全体人员对信息科技风险管理重要性的认识。

（五）设立一个由来自高级管理层、信息科技部门和主要业务部门的代表组成的专门信息科技管理委员会，负责监督各项职责的落实，定期向董事会和高级管理层汇报信息科技战略规划的执行、信息科技预算和实际支出、信息科技的整体状况。

2022-2023年初级银行从业资格之初级风险管理通关提分题库(考点梳理)单选题（共100题）1、（）是通过专业数据供应商所获得的数据，或者从税务、海关、公共服务提供部门、征信系统等记录客户经营和消费活动的机构获得的数据。

A.外部数据B.内部数据C.直接数据D.间接数据【答案】 A2、下列关于长期次级债务的说法，正确的是()。

A.长期次级债务是指存续期限至少在5年以上的次级债务B.经银监会认可，商业银行发行的有担保的并以银行资产为抵押或质押的长期次级债务工具可列入附属资本C.在到期日前最后5年，长期次级债务可计人附属资本的数量每年累计折扣为20%D.长期次级债务不能列入附属资本【答案】 C3、在单一客户限额管理中，客户所有者权益为2亿元，杠杆系数为0．8，则该客户最高债务承受额为()亿元。

A.2.5B.0.8C.2.0D.1.6【答案】 D4、下列关于商业银行风险管理模式经历的四个发展阶段的说法，不正确的是（）。

A.资产风险管理模式阶段，商业银行的风险管理主要偏重于资产业务的风险管理，强调保证商业银行资产的流动性B.负债风险管理模式阶段，西方商业银行由积极性的主动负债变为被动负债C.资产负债风险管理模式阶段，重点强调对资产业务、负债业务风险的协调管理，通过匹配资产负债结构、经营目标互相替换和资产分散，实现总量平衡和风险控制D.全面风险管理模式阶段，金融衍生产品、金融工程学等一系列专业技术逐渐应用于商业银行的风险管理【答案】 B5、（2018年真题）下列方法中不适用于计量商业银行账簿利率风险的是（）。

A.久期分析B.敏感性分析C.内部评级法D.缺口分析【答案】 C6、（2018年真题）从报告的使用者来看，风险报告可分为（）。

A.内部报告和综合报告B.内部报告和外部报告C.综合报告和专题报告D.综合报告和外部报告【答案】 B7、工程工期是指（）。

A.某项工作进行的速度B.工程施工进行的速度C.根据已批准的建设文件或签订的承发包合同，将工程项目的建设进度作出周密的安排，是把预期施工完成的工作按时间坐标序列表达出来的书面文件D.工程从开工至竣工所经历的时间【答案】 D8、可能造成重大经济损失，从而对流动性状况产生严重影响，如法国兴业银行交易员违规交易衍生产品造成巨额损失，不得不接受政府救助，这属于（）对流动性的影响。