商业银行信息科技风险动态监测规程(征求意见稿)

XX银行信息科技风险自评估操作规程第一章总则第一条为加强信息科技风险管理，规范信息科技风险自评估行为，参照《商业银行信息科技风险监管指引》等有关法律法规，制定本规程。

第二条本规程所称自评估系指本行针对评估内容，通过自我检视的方式对工作落实情况作出客观评价，防控风险隐患，逐步实现自我完善的过程。

包括信息科技部、稽核部和风险管理部自评估。

第三条本行信息科技风险自评估应坚持客观公正、全面详实、过程连贯的原则。

各分行、总行营业部，本行附属机构参照本规程执行。

第二章职责分工第四条风险管理部是信息科技风险自评估的归口管理部门，主要职责包括：（一）负责全行信息科技风险自评估工作的统筹和管理；（二）负责按要求向高级管理层及董事会风险管理委员会报送自评估报告；（三）负责监督信息科技自评估问题的整改落实；（四）负责向监管机构报送本行风险自评估情况；（五）负责信息科技风险评估工作的档案管理；（六）负责信息科技治理和信息科技风险管理的填报与整理工作；（七）负责董事会风险管理委员会和高级管理层要求的其他自评估事项。

第五条信息科技部是信息科技风险自评估报告（表）填报工作的牵头部门，主要职责包括：（一）负责信息科技风险自评估报告（表）的汇总收集工作；（二）负责信息科技风险自评估报告（表）的初步填报结果的审核和报送工作；（三）负责信息安全、应用系统开发、测试和维护、信息科技运行、业务连续性管理的整理与填报工作；（四）负责持续改善本行信息科技管理水平，落实整改措施；（五）负责信息科技风险自评估其他工作。

第六条稽核部是信息科技风险自评估内部审计部门，主要职责包括：（一）负责外包和内外部审计的整理与填报工作；（二）负责信息科技自评估相关整改措施落实情况审计工作。

第三章评估内容第七条信息科技风险自评估的主要内容包括但不限于信息科技治理、信息科技风险管理、信息安全、应用系统开发、测试和维护、信息科技运行、业务连续性管理、外包和内外部审计等。

商业银行信息科技风险动态监测规程（征求意见稿）第一章总则第一条为加强商业银行信息科技风险监管的及时性和前瞻性，实现对商业银行信息科技风险的持续和动态监测，根据《中华人民共和国银行业监督管理法》、《中华人民共和国商业银行法》以及其他相关法律法规，制定本规程。

第二条信息科技风险动态监测是针对商业银行信息科技活动中的重点风险领域，通过选取关键风险指标，持续开展风险监测，动态跟踪风险趋势、前瞻研判风险态势并及时采取监管措施的过程。

第三条信息科技风险动态监测遵循分级负责、属地监管、重在法人、风险为本的原则。

第四条信息科技风险动态监测体系由监测指标、监测数据管理、指标运用及监测工作流程组成。

第五条本规程适用于在中华人民共和国境内依法设立的商业银行，包括中资商业银行、外资独资商业银行和中外合资银行。

政策性银行、农村信用社、农村合作银行、村镇银行以及经银监会及其派出机构批准成立的其他银行业金融机构参照执行。

第二章动态监测指标选取原则及分类第六条信息科技风险动态监测指标由商业银行信息科技基础运行数据经采集、加工、计算形成，综合反映了商业银行信息科技风险水平及风险管控能力。

第七条监测指标选取遵循以下四个原则：（一）代表性：能够反映商业银行信息科技风险水平和控制效果，体现信息科技对业务的支撑能力；（二）综合性：能够涵盖商业银行信息科技风险存在的主要环节，反映信息系统多种要素的风险状况；（三）敏感性：能够通过指标波动直接体现商业银行信息科技风险水平的变化情况；（四）可获取性：能够通过商业银行信息系统直接获取或通过定量计算间接获取，具备明确、可靠的数据来源。

第八条商业银行信息科技风险动态监测指标分为稳定性指标、安全性指标和规模性指标三类。

其中稳定性指标、安全性指标直接反映商业银行信息科技风险状况，规模性指标主要反映信息科技对业务的支撑能力，间接反映商业银行信息科技风险状况。

第三章动态监测指标体系第九条稳定性指标表示商业银行信息系统对业务提供支持和满足业务需求的有效、可靠程度，包括系统可用率、系统交易成功率、投产变更成功率等。

村镇银行信息科技风险管理办法村镇银行信息科技风险管理办法（征求意见稿）第一章总则第一条为加强村镇银行信息科技风险管理，确保科技体系持续稳定运转，根据《商业银行信息科技风险管理指引》等有关法律、法规，制定本办法。

第二条信息科技风险管理是通过建立有效机制，实现对银行信息系统风险的识别、计量、评价、预警和控制，推动村镇银行业务创新，提高信息化管理水平，保障村镇银行业务持续平稳发展。

第二章信息科技风险管理组织架构第三条信息科技风险是指信息系统在规划、研发、建设、运行、维护、监控及退出过程中由于自然因素、人为因素、技术漏洞和管理缺陷产生的操作、法律和声誉等风险。

第四条发起行科技信息中心是村镇银行信息科技风险的主要管理部门，发起行科技信息中心有以下信息科技风险管理的权限和职责：（一）建立有效的信息科技风险管理管理架构，完善内部组织结构和工作机制，防范和控制信息科技风险管理；（二）贯彻执行国家有关信息系统相关法律、法规和技术标准，落实人民银行和银监会相关监管要求；（三）履行村镇银行信息系统的规划、研发、建设、运行、维护和管理职责，建立、健全村镇银行信息科技风险管理相关规章、制度，并严格执行；（四）负责村镇银行信息系统的规划、研发、建设、运行、维护和监控等工作，提供村镇银行信息系统日常信息服务和运行技术支持；（五）负责指导和监督村镇银行科技部门落实有关信息科技风险管理的各项规章制度；（六）发起行科技信息中心安全科是村镇银行信息科技风险管理的牵头部门,发起行科技信息中心各科室按其职责范围承担相应工作。

第三章信息科技风险具体控制要求第五条信息科技总体风险点是指信息系统在策略、制度、机房、软件、硬件、网络、数据、文档等方面影响全局或共有的风险。

包括以下风险点：（一）缺少信息系统风险管理策略；（二）自然灾害、运行环境变化；（三）信息系统相关规章制度、技术规范、操作规程不完善；（四）信息安全标准化工作不符合国家相关规定；（五）缺乏信息安全风险评估机制；（六）数据中心机房物理安全；（七）使用盗版软件及自有成果的知识产权保护；（八）电子设备自身运行；（九）主机与网络运行；（十）网络安全；（十一）密码安全；（十二）数据加密安全；（十三）信息系统配置参数管理；（十四）数据管理；（十五）突发事件响应；（十六）信息系统故障导致影响银行信誉；（十七）网上银行安全。

银行业信息科技风险管理指引—(正式版)1. 引言本指引旨在为银行业提供信息科技风险管理的指导，以确保银行业能够有效管理和控制信息科技风险，保障金融系统的安全和稳定运行。

2. 信息科技风险概述信息科技风险是指由于信息系统的使用和依赖，银行面临的各种可能影响信息系统可用性、完整性和保密性的威胁。

3. 信息科技风险管理原则信息科技风险管理应遵循以下原则：- 风险识别与评估：银行应对信息科技风险进行全面的识别和评估，确定风险的严重性和可能造成的影响。

- 风险治理与控制：银行应制定相应的风险治理措施，并建立合理的风险控制机制。

- 持续监测与改进：银行应定期监测信息科技风险，及时进行改进和调整。

- 信息共享与合作：银行应与相关机构和其他银行共享风险信息，进行合作，共同应对信息科技风险。

4. 信息科技风险管理框架银行应建立完善的信息科技风险管理框架，包括以下几个方面：- 风险治理结构：银行应建立明确的信息科技风险治理结构，明确责任和职责。

- 风险识别与评估：银行应建立科学的信息科技风险识别和评估方法，及时识别并评估风险。

- 风险控制与防范：银行应制定有效的控制措施和防范措施，减少和防止信息科技风险的发生。

- 事件响应与恢复：银行应建立完善的事件响应和恢复机制，及时响应和恢复信息科技风险事件。

- 管理与监测：银行应建立健全的信息科技风险管理和监测体系，确保信息科技风险的有效管理。

5. 信息科技风险管理的实施银行应制定详细的信息科技风险管理方案，并根据实际情况进行有效的实施。

方案应包括风险识别、评估、控制、防范、监测和响应等内容。

6. 信息科技风险管理的监督与评估相关监管机构应对银行的信息科技风险管理进行定期监督和评估，提供指导和支持，确保信息科技风险得到有效管理。

7. 附则本指引自发布之日起生效，并适用于银行业的信息科技风险管理工作。

银行应根据本指引的要求，进行相应的风险管理工作。

以上内容仅为简要介绍，详细内容请参阅《银行业信息科技风险管理指引—(正式版)》全文。

XXXX银行信息科技风险评估操作规程1.总则1.1.为规范XXXX银行信息科技风险评估工作，提高信息科技风险管理水平，根据监管要求及《XXXX银行信息科技风险管理办法》，制定本操作规程。

1.2.本规程所指信息科技风险是信息科技在商业银行运用过程中，由于自然因素、人为因素、技术漏洞和管理缺陷产生的操作、法律和声誉等风险。

1.3.本规程所指信息科技风险评估是对信息科技风险的风险辨识（包括分类）、风险分析和风险评价。

1.4.本规程是对风险评估计划、风险评估准备、风险识别、风险评价、风险分析及报告等关键环节的管理。

1.5.本规程适用于全行。

2.风险评估计划2.1总行市场与操作风险管理部制定信息科技风险评估计划，每年组织开展一次全面的信息科技风险评估。

2.2出现以下情况，应结合本单位以往风险评估情况，确定是否启动信息科技风险评估：（1）新系统上线或已有系统进行重大变更；（2）内部或同业出现重大信息科技事件；（3）信息科技审计中发现重大问题；（4）监管机构发布风险提示。

2.3分行市场与操作风险管理部门根据总行风险评估工作要求，结合本行实际情况制定风险评估计划，组织开展信息科技风险评估工作。

3.风险评估准备3.1.风险评估牵头部门确定风险评估目标。

评估目标包括：（1）满足监管要求；（2）满足我行业务持续发展在信息科技方面的需要；（3）识别现有信息技术及管理上的不足等。

3.2.风险评估牵头部门确定风险评估范围。

评估范围依据评估目标确定，包括：（1）信息资产，如物理、系统、网络、应用、数据等；（2）信息科技活动，如合规管理、开发管理、运维管理、外包管理等；（3）信息科技工作流程，如事件管理、配置管理、变更管理等。

3.3.风险评估牵头部门负责组建风险评估团队，授权风险评估团队开展风险评估工作。

3.4.风险评估团队制定风险评估计划书，明确风险评估实施的计划安排，包括评估工作内容、时间进度和各阶段成果清单等内容。

3.5.风险评估团队制定风险评估方案，明确风险评估依据、风险识别方法、信息收集方式、风险分析方法等。

银行业金融机构信息科技外包风险管理指引征求意见稿))(征求意见稿第一章总则第一条为规范银行业金融机构的信息科技外包活动，降低信息科技外包引发的风险，保持信息科技核心能力，促进银行业信息科技健康有序发展，根据《中华人民共和国银行业监督管理法》、《中华人民共和国商业银行法》等法律法规，制定本指引。

第二条在中华人民共和国境内设立的政策性银行、国有商业银行、股份制商业银行、邮政储蓄银行、城市商业银行、农村商业银行、农村合作银行、省级农村信用社联合社、外商独资银行、中外合资银行适用本指引。

中国银行业监督管理委员会（以下简称中国银监会）监管的其他金融机构参照本指引执行。

第三条本指引所称信息科技外包是指银行业金融机构将原本由自身负责处理的信息科技活动委托给服务提供商进行处理的行为。

包括：系统开发、系统测试、基础设施及系统运维、人力外包、管理咨询等。

第四条本指引所称关联外包指服务提供商为银行业金融机构的母公司或其所属集团子公司、关联公司或附属机构的信息科技外包。

第五条信息科技的外包可能产生如下风险，并导致银行业金融机构的战略、声誉、合规风险：（一）科技能力丧失：银行业金融机构过度依赖外部资源导致失去科技创新及控制能力，影响业务创新与发展；（二）业务中断：支持业务运营的外包服务无法持续提供导致业务中断；（三）信息泄露：包含客户信息在内的银行非公开数据被服务提供商非法获得或泄露；（四）服务水平下降：由于外包服务质量问题或内外部协作效率低下，使得银行业金融机构信息科技服务水平下降。

第六条本指引所称机构集中度风险是指银行业金融机构将信息科技外包服务集中交由少量服务提供商承接而产生的风险，该风险可能造成集中性的服务中断、质量下降、安全事件等。

第七条本指引所称托管机构是指作为外包服务提供商为其他同行业金融机构提供信息科技外包服务的银行业金融机构。

第八条银行业金融机构应当将信息科技外包管理纳入全面风险管理体系，建立与本机构信息科技战略目标相适应的外包管理体系，控制或降低由于外包而引发的风险。

商业银行信息科技风险管理指引第一章总则第一条为加强商业银行信息科技风险管理，根据《中华人民共和国银行业监督管理法》、《中华人民共和国商业银行法》、《中华人民共和国外资银行管理条例》，以及国家信息安全相关要求和有关法律法规，制定本指引。

第二条本指引适用于在中华人民共和国境内依法设立的法人商业银行。

政策性银行、农村合作银行、城市信用社、农村信用社、村镇银行、贷款公司、金融资产管理公司、信托公司、财务公司、金融租赁公司、汽车金融公司、货币经纪公司等其他银行业金融机构参照执行。

第三条本指引所称信息科技是指计算机、通信、微电子和软件工程等现代信息技术，在商业银行业务交易处理、经营管理和内部控制等方面的应用，并包括进行信息科技治理，建立完整的管理组织架构，制订完善的管理制度和流程。

第四条本指引所称信息科技风险，是指信息科技在商业银行运用过程中，由于自然因素、人为因素、技术漏洞和管理缺陷产生的操作、法律和声誉等风险。

第五条信息科技风险管理的目标是通过建立有效的机制，实现对商业银行信息科技风险的识别、计量、监测和控制，促进商业银行安全、持续、稳健运行，推动业务创新，提高信息技术使用水平，增强核心竞争力和可持续发展能力。

第二章信息科技治理第六条商业银行法定代表人是本机构信息科技风险管理的第一责任人，负责组织本指引的贯彻落实。

第七条商业银行的董事会应履行以下信息科技管理职责：（一）遵守并贯彻执行国家有关信息科技管理的法律、法规和技术标准，落实中国银行业监督管理委员会（以下简称银监会）相关监管要求。

（二）审查批准信息科技战略，确保其与银行的总体业务战略和重大策略相一致。

评估信息科技及其风险管理工作的总体效果和效率。

（三）掌握主要的信息科技风险，确定可接受的风险级别，确保相关风险能够被识别、计量、监测和控制。

（四）规范职业道德行为和廉洁标准，增强内部文化建设，提高全体人员对信息科技风险管理重要性的认识。

（五）设立一个由来自高级管理层、信息科技部门和主要业务部门的代表组成的专门信息科技管理委员会，负责监督各项职责的落实，定期向董事会和高级管理层汇报信息科技战略规划的执行、信息科技预算和实际支出、信息科技的整体状况。

商业银行信息科技风险动态监测规程（征求意见稿）第一章总则第一条为加强商业银行信息科技风险监管的及时性和前瞻性，实现对商业银行信息科技风险的持续和动态监测，根据《中华人民共和国银行业监督管理法》、《中华人民共和国商业银行法》以及其他相关法律法规，制定本规程。

第二条信息科技风险动态监测是针对商业银行信息科技活动中的重点风险领域，通过选取关键风险指标，持续开展风险监测，动态跟踪风险趋势、前瞻研判风险态势并及时采取监管措施的过程。

第三条信息科技风险动态监测遵循分级负责、属地监管、重在法人、风险为本的原则。

第四条信息科技风险动态监测体系由监测指标、监测数据管理、指标运用及监测工作流程组成。

第五条本规程适用于在中华人民共和国境内依法设立的商业银行，包括中资商业银行、外资独资商业银行和中外合资银行。

政策性银行、农村信用社、农村合作银行、村镇银行以及经银监会及其派出机构批准成立的其他银行业金融机构参照执行。

第二章动态监测指标选取原则及分类第六条信息科技风险动态监测指标由商业银行信息科技基础运行数据经采集、加工、计算形成，综合反映了商业银行信息科技风险水平及风险管控能力。

第七条监测指标选取遵循以下四个原则：（一）代表性：能够反映商业银行信息科技风险水平和控制效果，体现信息科技对业务的支撑能力；（二）综合性：能够涵盖商业银行信息科技风险存在的主要环节，反映信息系统多种要素的风险状况；（三）敏感性：能够通过指标波动直接体现商业银行信息科技风险水平的变化情况；（四）可获取性：能够通过商业银行信息系统直接获取或通过定量计算间接获取，具备明确、可靠的数据来源。

第八条商业银行信息科技风险动态监测指标分为稳定性指标、安全性指标和规模性指标三类。

其中稳定性指标、安全性指标直接反映商业银行信息科技风险状况，规模性指标主要反映信息科技对业务的支撑能力，间接反映商业银行信息科技风险状况。

第三章动态监测指标体系第九条稳定性指标表示商业银行信息系统对业务提供支持和满足业务需求的有效、可靠程度，包括系统可用率、系统交易成功率、投产变更成功率等。

商业银行信息科技治理建设指导意见V征求意见稿文件管理序列号：[K8UY-K9IO69-O6M243-OL889-F88688]商业银行信息科技治理建设指导意见（讨论稿）第一章总则第一条为规范商业银行信息科技治理，提高信息科技工作效率和风险管理水平，确保信息系统安全、持续、稳健运行，根据《中华人民共和国银行业监督管理法》、《中华人民共和国商业银行法》，以及其他相关法律、法规，制定本指导意见（以下简称意见）。

第二条信息科技治理是商业银行公司治理的重要组成部分，是商业银行在运用信息技术过程中，为实现信息科技工作既定目标所做出的制度安排，包括组织结构、技术架构、运行机制和激励约束等。

第三条商业银行信息科技治理的目标是健全信息科技治理组织结构和技术架构，明确决策和管理职责，优化资源配置，有效控制信息科技风险，确保信息科技战略与业务发展目标相适应，增强商业银行核心竞争力和可持续发展能力。

第四条本意见适用于在中华人民共和国境内依法设立的商业银行，包括国有商业银行、股份制商业银行、城市商业银行和外资银行。

由中国银行业监督管理委员会（以下简称中国银监会）监督管理的其他金融机构参照执行。

第二章组织结构第五条董事会是商业银行最高决策组织，在信息科技治理中履行以下职责：（一）审查批准本行信息科技治理结构，定期听取高级管理层关于信息科技工作汇报并予以评价；（二）审查批准信息科技战略规划，确保与银行总体业务发展战略规划和重大策略相一致；（三）审查批准信息科技方面的重大项目和投资。

为确保有效履行上述职责，董事会主要成员应对本行信息科技主要活动有所了解。

第六条监事会是商业银行监督机构，在信息科技治理中应履行以下职责：（一）对董事会、高级管理层履行信息科技职责的行为进行监督；（二）对银行信息科技规划、决策、风险管理和内部控制等进行监督；（三）对没有正确履行信息科技职责的高级管理人员，提出处罚建议。

第七条董事长是商业银行法定代表，在信息科技治理中履行以下职责：（一）承担本机构信息科技风险管理的最终责任；（二）召集、主持有关信息科技管理、风险防范和审计的董事会会议；（三）督促、检查董事会制定的信息科技工作决议执行情况；（四）落实其他应由董事长承担的信息科技工作。

中国银行业监督管理委员会关于印发《商业银行信息科技风险管理指引》的通知银监发[2009]19号各银监局，各政策性银行、国有商业银行、股份制商业银行、金融资产管理公司，邮政储蓄银行，各省级农村信用联社，银监会直接监管的信托公司、财务公司、金融租赁公司，中央国债登记结算公司：现将《商业银行信息科技风险管理指引》印发给你们，请认真执行。

请各银监局将本通知转发至辖内各银行业金融机构（含外资银行）。

中国银行业监督管理委员会二○○九年三月三日商业银行信息科技风险管理指引第一章总则第一条为加强商业银行信息科技风险管理，根据《中华人民共和国银行业监督管理法》、《中华人民共和国商业银行法》、《中华人民共和国外资银行管理条例》，以及国家信息安全相关要求和有关法律法规，制定本指引。

第二条本指引适用于在中华人民共和国境内依法设立的法人商业银行。

政策性银行、农村合作银行、城市信用社、农村信用社、村镇银行、贷款公司、金融资产管理公司、信托公司、财务公司、金融租赁公司、汽车金融公司、货币经纪公司等其他银行业金融机构参照执行。

第三条本指引所称信息科技是指计算机、通信、微电子和软件工程等现代信息技术，在商业银行业务交易处理、经营管理和内部控制等方面的应用，并包括进行信息科技治理，建立完整的管理组织架构，制订完善的管理制度和流程。

第四条本指引所称信息科技风险，是指信息科技在商业银行运用过程中，由于自然因素、人为因素、技术漏洞和管理缺陷产生的操作、法律和声誉等风险。

第五条信息科技风险管理的目标是通过建立有效的机制，实现对商业银行信息科技风险的识别、计量、监测和控制，促进商业银行安全、持续、稳健运行，推动业务创新，提高信息技术使用水平，增强核心竞争力和可持续发展能力。

第二章信息科技治理第六条商业银行法定代表人是本机构信息科技风险管理的第一责任人，负责组织本指引的贯彻落实。

第七条商业银行的董事会应履行以下信息科技管理职责：（一）遵守并贯彻执行国家有关信息科技管理的法律、法规和技术标准，落实中国银行业监督管理委员会（以下简称银监会）相关监管要求。

中国银行业监督管理委员会办公厅关于印发《商业银行数据中心监管指引》的通知银监办发[2010]114号各银监局，各政策性银行、国有商业银行、股份制商业银行，邮政储蓄银行，各省级农村信用联社：为加强商业银行数据中心风险管理，保障数据中心安全、可靠、稳定运行，加强灾难恢复管理，提高业务连续性水平，现将《商业银行数据中心监管指引》印发给你们，请遵照执行。

请各银监局将本通知转发至辖内相关银行业金融机构。

中国银行业监督管理委员会办公厅二0一0年四月二十日商业银行数据中心监管指引第一章总则第一条为加强商业银行数据中心风险管理，保障数据中心安全、可靠、稳定运行，提高商业银行业务连续性水平，根据《中华人民共和国银行业监督管理法》及《中华人民共和国商业银行法》制定本指引。

第二条在中华人民共和国境内设立的国有商业银行、股份制商业银行、邮政储蓄银行、城市商业银行、省级农村信用联合社、外商独资银行、中外合资银行适用本指引。

中国银行业监督管理委员会（以下简称中国银监会）监管的其他金融机构参照本指引执行。

第三条以下术语适用于本指引：（一）本指引所称数据中心包括生产中心和灾难备份中心（以下简称灾备中心）。

（二）本指引所称生产中心是指商业银行对全行业务、客户和管理等重要信息进行集中存储、处理和维护，具备专用场所，为业务运营及管理提供信息科技支撑服务的组织。

（三）本指引所称灾备中心是指商业银行为保障其业务连续性，在生产中心故障、停顿或瘫疾后，能够接替生产中心运行，具备专用场所，进行数据处理和支持重要业务持续运行的组织。

（四）本指引所称灾备中心同城模式是指灾备中心与生产中心位于同一地理区域，一般距离数十公里，可防范火灾、建筑物破坏、电力或通信系统中断等事件。

灾备中心异地模式是指灾备中心与生产中心处于不同地理区域，一般距离在数百公里以上，不会同时面临同类区域性灾难风险，如地震、台风和洪水等。

（五）本指引所称重要信息系统是指支撑重要业务，其信息安全和服务质量关系公民、法人和组织的权益，或关系社会秩序、公共利益乃至国家安全的信息系统。

商业银行信息科技风险动态监测规程（征求意见稿）第一章总则第一条为加强商业银行信息科技风险监管的及时性和前瞻性，实现对商业银行信息科技风险的持续和动态监测，根据《中华人民共和国银行业监督管理法》、《中华人民共和国商业银行法》以及其他相关法律法规，制定本规程。

第二条信息科技风险动态监测是针对商业银行信息科技活动中的重点风险领域，通过选取关键风险指标，持续开展风险监测，动态跟踪风险趋势、前瞻研判风险态势并及时采取监管措施的过程。

第三条信息科技风险动态监测遵循分级负责、属地监管、重在法人、风险为本的原则。

第四条信息科技风险动态监测体系由监测指标、监测数据管理、指标运用及监测工作流程组成。

第五条本规程适用于在中华人民共和国境内依法设立的商业银行，包括中资商业银行、外资独资商业银行和中外合资银行。

政策性银行、农村信用社、农村合作银行、村镇银行以及经银监会及其派出机构批准成立的其他银行业金融机构参照执行。

第二章动态监测指标选取原则及分类第六条信息科技风险动态监测指标由商业银行信息科技基础运行数据经采集、加工、计算形成，综合反映了商业银行信息科技风险水平及风险管控能力。

第七条监测指标选取遵循以下四个原则：（一）代表性：能够反映商业银行信息科技风险水平和控制效果，体现信息科技对业务的支撑能力；（二）综合性：能够涵盖商业银行信息科技风险存在的主要环节，反映信息系统多种要素的风险状况；（三）敏感性：能够通过指标波动直接体现商业银行信息科技风险水平的变化情况；（四）可获取性：能够通过商业银行信息系统直接获取或通过定量计算间接获取，具备明确、可靠的数据来源。

第八条商业银行信息科技风险动态监测指标分为稳定性指标、安全性指标和规模性指标三类。

其中稳定性指标、安全性指标直接反映商业银行信息科技风险状况，规模性指标主要反映信息科技对业务的支撑能力，间接反映商业银行信息科技风险状况。

第三章动态监测指标体系第九条稳定性指标表示商业银行信息系统对业务提供支持和满足业务需求的有效、可靠程度，包括系统可用率、系统交易成功率、投产变更成功率等。

商业银行信息科技风险动态监测指标1.引言在当今信息化社会，商业银行信息科技风险动态监测指标的重要性日益凸显。

随着科技的迅猛发展，商业银行在信息科技方面的应用越来越广泛，给银行业务带来了极大的便利和效率提升，但同时也带来了各种信息科技风险。

建立科学的动态监测指标体系，对及时发现并应对潜在风险至关重要。

2.信息科技风险的定义和分类我们要了解信息科技风险的含义和分类。

信息科技风险是指由于信息系统设施、信息内容、信息使用引起的可能对商业银行正常运作和信息资产带来威胁或损害的一种潜在性。

根据其性质和来源，信息科技风险可分为内部风险和外部风险。

内部风险主要包括人为失误、内部犯罪、技术故障等，外部风险主要包括网络安全威胁、自然灾害等。

3.商业银行信息科技风险动态监测指标的意义了解了信息科技风险的定义和分类后，我们进一步探讨商业银行信息科技风险动态监测指标的意义。

动态监测指标不仅可以帮助商业银行及时发现和识别潜在风险，还可以帮助商业银行对风险进行有效的响应和管理。

通过建立科学的指标体系，商业银行可以实现对信息科技风险全面、深入、及时地监测，从而保障银行业务的安全和稳定。

4.商业银行信息科技风险动态监测指标体系建立商业银行信息科技风险动态监测指标的建立需要考虑多个方面的因素。

应该从风险的来源和类型出发，建立完整的指标体系。

需要考虑指标的权重和相互关联性，以确保监测结果的科学性和准确性。

还应该考虑指标的动态性和实时性，因为信息科技风险是一个动态的过程，需要及时跟进。

需要考虑指标的可操作性和有效性，以便商业银行能够根据监测结果采取相应的风险管理措施。

5.商业银行信息科技风险动态监测指标的个人观点和理解在我看来，商业银行信息科技风险动态监测指标的建立是一个非常复杂和重要的工作。

其核心是要通过科学的手段，及时全面地了解和掌握商业银行信息科技风险的状况，以便及时采取有效的风险管理措施，保障银行业务的安全和稳定。

也需要不断完善和更新指标体系，以适应信息科技风险动态变化的特点。

商业银行信息科技风险管理指引—(正式版) 商业银行信息科技风险管理指引—(正式版)1：引言1.1 背景与目的1.2 适用范围1.3 术语与定义2：风险管理框架2.1 风险识别与评估2.1.1 内部审计与风险评估2.1.2 内部控制评估2.1.3 外部审计与评估2.1.4 信息系统风险评估2.2 风险治理与控制2.2.1 风险治理框架2.2.2 风险控制措施2.2.3 风险监测与报告2.3 风险应对与应急计划2.3.1 风险应对策略2.3.2 风险应急计划2.3.3 业务连续性计划3：信息系统安全3.1 信息资产保护3.1.1 安全分类与分级3.1.2 信息资产管理制度3.1.3 信息资产风险评估3.1.4 信息资产安全控制3.2 访问控制与身份认证3.2.1 访问控制策略3.2.2 身份认证机制3.2.3 会话管理3.2.4 权限管理3.3 网络与通信安全3.3.1 网络安全管理3.3.2 网络拓扑设计3.3.3 网络设备安全配置3.3.4 通信安全3.4 应用系统安全3.4.1 应用系统开发3.4.2 应用系统运维3.4.3 应用系统备份与恢复3.4.4 应用系统安全漏洞管理4：数据安全与隐私保护4.1 数据分类与处理4.2 数据安全管理4.2.1 数据备份与恢复4.2.2 数据传输与传送4.2.3 数据存储与销毁4.3 隐私保护4.3.1 隐私政策4.3.2 隐私告知与征得同意4.3.3 隐私保护措施5：技术合规与监管要求5.1 国家法律法规5.2 监管机构要求5.3 行业标准与规范5.4 自律组织要求6：附件注释：- 风险识别与评估：对银行信息科技风险进行识别和评估的过程，包括内部审计、内部控制评估、外部审计和信息系统风险评估等。

- 风险治理与控制：管理和控制银行信息科技风险的框架和措施，包括风险治理框架、风险控制措施和风险监测与报告等。

- 风险应对与应急计划：应对银行信息科技风险的策略和应急计划，包括风险应对策略和业务连续性计划等。

商业银行信息科技治理建设指导意见V征求意见稿文件管理序列号：[K8UY-K9IO69-O6M243-OL889-F88688]商业银行信息科技治理建设指导意见（讨论稿）第一章总则第一条为规范商业银行信息科技治理，提高信息科技工作效率和风险管理水平，确保信息系统安全、持续、稳健运行，根据《中华人民共和国银行业监督管理法》、《中华人民共和国商业银行法》，以及其他相关法律、法规，制定本指导意见（以下简称意见）。

第二条信息科技治理是商业银行公司治理的重要组成部分，是商业银行在运用信息技术过程中，为实现信息科技工作既定目标所做出的制度安排，包括组织结构、技术架构、运行机制和激励约束等。

第三条商业银行信息科技治理的目标是健全信息科技治理组织结构和技术架构，明确决策和管理职责，优化资源配置，有效控制信息科技风险，确保信息科技战略与业务发展目标相适应，增强商业银行核心竞争力和可持续发展能力。

第四条本意见适用于在中华人民共和国境内依法设立的商业银行，包括国有商业银行、股份制商业银行、城市商业银行和外资银行。

由中国银行业监督管理委员会（以下简称中国银监会）监督管理的其他金融机构参照执行。

第二章组织结构第五条董事会是商业银行最高决策组织，在信息科技治理中履行以下职责：（一）审查批准本行信息科技治理结构，定期听取高级管理层关于信息科技工作汇报并予以评价；（二）审查批准信息科技战略规划，确保与银行总体业务发展战略规划和重大策略相一致；（三）审查批准信息科技方面的重大项目和投资。

为确保有效履行上述职责，董事会主要成员应对本行信息科技主要活动有所了解。

第六条监事会是商业银行监督机构，在信息科技治理中应履行以下职责：（一）对董事会、高级管理层履行信息科技职责的行为进行监督；（二）对银行信息科技规划、决策、风险管理和内部控制等进行监督；（三）对没有正确履行信息科技职责的高级管理人员，提出处罚建议。

第七条董事长是商业银行法定代表，在信息科技治理中履行以下职责：（一）承担本机构信息科技风险管理的最终责任；（二）召集、主持有关信息科技管理、风险防范和审计的董事会会议；（三）督促、检查董事会制定的信息科技工作决议执行情况；（四）落实其他应由董事长承担的信息科技工作。

商业银行业务连续性监管指引（征求意见稿）第一章总则第一条为加强商业银行风险管理，提高业务连续性管理能力，降低或消除因自然灾害、人为破坏和技术故障等原因造成重要业务运营中断所产生的影响，快速恢复被中断业务，保障银行机构有效履行社会责任，维护公众信心和银行业正常的运行秩序，根据《中华人民共和国银行业监督管理法》及《中华人民共和国商业银行法》制定本指引。

第二条在中华人民共和国境内设立的国有商业银行、股份制商业银行、邮政储蓄银行、城市商业银行、省级农村信用联合社、外商独资银行、中外合资银行适用本指引。

中国银监会监管的其他金融机构参照本指引执行。

第三条本指引所称重要业务是指面向社会客户、涉及账务处理及处理时效性要求较高的业务，其运行服务的中断会给商业银行造成重大经济损失或声誉影响，会对公民、法人或组织的权益、公共利益甚至国家安全带来严重后果的业务。

第四条本指引所称突发事件是指因下述原因，导致商业银行重要业务异常或中断，产生不良影响或资金损失的事件，包括：(一)信息系统各类技术故障和配套设施故障；(二)自然灾害（如火灾、雷击、海啸等）；(三)外部影响（如发生黑客攻击、第三方无法提供合作或服务等）。

第五条商业银行应根据突发事件造成的影响、损失程度和范围划分事件等级。

第六条本指引所称业务连续性是商业银行通过对突发事件的规划和响应，使重要业务得到有序、快速恢复，实现持续、稳定运行的能力。

第七条本指引所称业务连续性管理是商业银行为保证重要业务持续运行而建立的一整套管理机制、办法、制度、方案、标准和程序的有机整体。

第八条商业银行应建立有效的业务连续性管理体系，使重要业务在发生突发事件后能有序、快速恢复，消除或减少因重要业务中断造成的影响和损失，实现业务的持续运营。

第九条业务连续性管理的基本原则是：(一)社会责任原则：应以切实有效履行社会责任为业务连续性管理的重要目标。

(二)预防为主原则；应积极采取预防控制措施，提高重要业务所依赖关键资源的健壮度，提升风险防御能力，消除或降低业务运营中断发生的可能性。

中国银行业监督管理委员会关于印发《商业银行信息科技风险管理指引》的通知文章属性•【制定机关】中国银行业监督管理委员会(已撤销)•【公布日期】2009.03.03•【文号】银监发[2009]19号•【施行日期】2009.03.03•【效力等级】部门规范性文件•【时效性】现行有效•【主题分类】银行业监督管理正文中国银行业监督管理委员会关于印发《商业银行信息科技风险管理指引》的通知（银监发[2009]19号）各银监局，各政策性银行、国有商业银行、股份制商业银行、金融资产管理公司，邮政储蓄银行，各省级农村信用联社，银监会直接监管的信托公司、财务公司、金融租赁公司，中央国债登记结算公司：现将《商业银行信息科技风险管理指引》印发给你们，请认真执行。

请各银监局将本通知转发至辖内各银行业金融机构（含外资银行）。

中国银行业监督管理委员会二00九年三月三日商业银行信息科技风险管理指引第一章总则第一条为加强商业银行信息科技风险管理，根据《中华人民共和国银行业监督管理法》、《中华人民共和国商业银行法》、《中华人民共和国外资银行管理条例》，以及国家信息安全相关要求和有关法律法规，制定本指引。

第二条本指引适用于在中华人民共和国境内依法设立的法人商业银行。

政策性银行、农村合作银行、城市信用社、农村信用社、村镇银行、贷款公司、金融资产管理公司、信托公司、财务公司、金融租赁公司、汽车金融公司、货币经纪公司等其他银行业金融机构参照执行。

第三条本指引所称信息科技是指计算机、通信、微电子和软件工程等现代信息技术，在商业银行业务交易处理、经营管理和内部控制等方面的应用，并包括进行信息科技治理，建立完整的管理组织架构，制订完善的管理制度和流程。

第四条本指引所称信息科技风险，是指信息科技在商业银行运用过程中，由于自然因素、人为因素、技术漏洞和管理缺陷产生的操作、法律和声誉等风险。

第五条信息科技风险管理的目标是通过建立有效的机制，实现对商业银行信息科技风险的识别、计量、监测和控制，促进商业银行安全、持续、稳健运行，推动业务创新，提高信息技术使用水平，增强核心竞争力和可持续发展能力。