銀監(jiān)會《商業(yè)銀行信息科技風(fēng)險管理指引》

1、商業(yè)銀行信息科技風(fēng)險管理指引 商業(yè)銀行信息科技風(fēng)險管理指引第一章 第一章 總則 總則第一條 為加強商業(yè)銀行信息科技風(fēng)險管理，根據(jù)《中華人民共和國銀行業(yè)監(jiān)督管理法》 、 《中華人民共和國商業(yè)銀行法》 、 《中華人民共和國外資銀行管理條例》 ，以及國家信息安全相關(guān)要求和有關(guān)法律法規(guī)，制定本指引。第二條 本指引適用于在中華人民共和國境內(nèi)依法設(shè)立的法人商業(yè)銀行、政策性銀行、農(nóng)村合作銀行、城市信用社、農(nóng)村信用社、村鎮(zhèn)銀行、貸款公司、金融資產(chǎn)管理公

2、司、信托公司、財務(wù)公司、金融租賃公司、汽車金融公司、貨幣經(jīng)紀(jì)公司等其他銀行業(yè)金融機構(gòu)參照執(zhí) 行。第三條 本指引所稱信息科技是指計算機、通信、微電子和軟件工程等現(xiàn)代信息技術(shù)，在商業(yè)銀行業(yè)務(wù)交易處理、經(jīng)營管理和內(nèi)部控制等方面的應(yīng)用，并包括進行信息科技治理，建立完整的管理組織架 構(gòu)，制訂完善的管理制度和流程。第四條 本指引所稱信息科技風(fēng)險，是指信息科技在商業(yè)銀行運用過程中，由于自然因素、人為因素、技術(shù)漏洞和管理缺陷產(chǎn)生的操作、法律和聲譽等風(fēng)險

3、。第五條 信息科技風(fēng)險管理的目標(biāo)是通過建立有效的機制，實現(xiàn)對商業(yè)銀行信息科技風(fēng)險的識別、計量、監(jiān)測和控制，促進商業(yè)銀行安全、持續(xù)、穩(wěn)健運行，推動業(yè)務(wù)創(chuàng)新，提高信息技術(shù)使用水平，增強核心競爭力和可持續(xù)發(fā)展能力。第二章 第二章 信息科技治理 信息科技治理第六條 商業(yè)銀行法定代表人是本機構(gòu)信息科技風(fēng)險管理的第一責(zé)任人，負(fù)責(zé)組織本指引貫徹落實。第七條 商業(yè)銀行的董事會應(yīng)履行以下信息科技管理職責(zé)：(一)遵守并貫徹執(zhí)行國家有關(guān)信息科技管理的法律、法

4、規(guī)和技術(shù)標(biāo)準(zhǔn)，落實中國銀行業(yè)監(jiān)督管理委員會(以下簡稱銀監(jiān)會)相關(guān)監(jiān)管要求。(二)審查批準(zhǔn)信息科技戰(zhàn)略，確保其與銀行的總體業(yè)務(wù)戰(zhàn)略和重大策略相 一致。評估信息科技及其風(fēng)險管理工作的總體效果和效率。(三)掌握主要的信息科技風(fēng)險，確定可接受的風(fēng)險級別，確保相關(guān)風(fēng)險能(一)驗證個人信息，包括核驗有效身份證件、學(xué)歷證明、工作經(jīng)歷和專業(yè) 資格證書等信息。(二)審核信息科技員工的道德品行，確保其具備相應(yīng)的職業(yè)操守。(三)確保員工了解、遵守信息科技策略

5、、指導(dǎo)原則、信息保密、授權(quán)使用信息系統(tǒng)、信息科技管理制度和流程等要求，并同員工簽訂相關(guān)協(xié)議。(四)評估關(guān)鍵崗位信息科技員工流失帶來的風(fēng)險，做好安排候補員工和崗位接替計劃等防范措施；在員工崗位發(fā)生變化后及時變更相關(guān)信息。第十條 商業(yè)銀行應(yīng)設(shè)立或指派一個特定部門負(fù)責(zé)信息科技風(fēng)險管理工作，并直接向首席信息官或首席風(fēng)險官(風(fēng)險管理委員會)報告工作。該部門應(yīng)為信息科技突發(fā)事件應(yīng)急響應(yīng)小組的成員之一，負(fù)責(zé)協(xié)調(diào)制定有關(guān)信息科技風(fēng)險管 理策略，尤其是在

6、涉及信息安全、業(yè)務(wù)連續(xù)性計劃和合規(guī)性風(fēng)險等方面，為業(yè)務(wù)部門和信息科技部門提供建議及相關(guān)合規(guī)性信息，實施持續(xù)信息科技風(fēng)險評估，跟蹤整改意見的落實，監(jiān)控信息安全威脅和不合規(guī)事件的發(fā)生。第十一條 商業(yè)銀行應(yīng)在內(nèi)部審計部門設(shè)立專門的信息科技風(fēng)險審計崗位，負(fù)責(zé)信息科技審計制度和流程的實施，制訂和執(zhí)行信息科技審計計劃，對信息科技整個生命周期和重大事件等進行審計。第十二條 商業(yè)銀行應(yīng)按照知識產(chǎn)權(quán)相關(guān)法律法規(guī)，制定本機構(gòu)信息科技知識產(chǎn)權(quán)保護策略和

7、制度，并使所有員工充分理解并遵照執(zhí)行。確保購買和使用合法的軟硬件產(chǎn)品，禁止侵權(quán)盜版；采取有效措施保護本機構(gòu)自主知識產(chǎn)權(quán)。第十三條 商業(yè)銀行應(yīng)依據(jù)有關(guān)法律法規(guī)的要求，規(guī)范和及時披露信息科技風(fēng)險狀況。第三章 第三章 信息科技風(fēng)險管理 信息科技風(fēng)險管理第十四條 商業(yè)銀行應(yīng)制定符合銀行總體業(yè)務(wù)規(guī)劃的信息科技戰(zhàn)略、信息科技運行計劃和信息科技風(fēng)險評估計劃，確保配置足夠人力、財力資源，維持 穩(wěn)定、安全的信息科技環(huán)境。第十五條 商業(yè)銀行應(yīng)制定全面