銀行業金融機構信息科技外包管理指引

⑴ 銀行外包管理辦法

別說一線崗位，銀行很多內部的比如說檔案員、駕駛員、守押崗位都已經外包了。此外大堂、催收、法律、訴訟，甚至POS機具維護，甚至信貸收單都外包了。

為何這么做？

第一是節省成本。
外包，就是把這些相對不重要的崗位包給第三方公司，第三方公司派遣自己的雇員來代替銀行正式簽約員工工作。銀行按月結算給第三方，第三方再剔除管理費、稅金、五險一後支付給具體的外包崗位人員。

銀行簽約人員收入與福利肯定要比外包人員多一些，如此操作，銀行少支出部分又節省了管理成本。第三方公司也能從外包人員頭上多少搜刮些，雙贏啊😡

第二是迴避責任。
只要進行人員管理就有責任。這么一半人少了，銀行各級管理者的責任降低了。

出了任何問題，簡單將外包人員遣送回第三方公司就什麼事都省了。

第三是規避風險
銀行工作存在眾多潛在風險。而很多事不好給內部員工做，比如銀行催收，給員工做就得監督，是否內外勾結，沖銷費用，減免利息啊，真很麻煩。給外包第三方公司，按照既定規則執行，就結束了。

所以...

不過，當銀行也開始這么節省成本，讓外包人員面對客戶，估計外包人員心中也是憤怒的，同工不同酬，誰會創造性勞動？

損失的，嗯，其實還是銀行自己。

且看著吧。

⑵ 商業銀行信息科技風險管理指引的第八章 外包管理

第五十五條 商業銀行不得將其信息科技管理責任外包，應合理謹慎監督外包職能的履行。
第五十六條 商業銀行實施重要外包（如數據中心和信息科技基礎設施等)應格外謹慎，在准備實施重要外包時應以書面材料正式報告銀監會或其派出機構。
第五十七條 商業銀行在簽署外包協議或對外包協議進行重大變更前，應做好相關准備，其中包括：
（一） 分析外包是否適合商業銀行的組織結構和報告路線、業務戰略、總體風險控制，是否滿足商業銀行履行對外包服務商的監督義務。
（二） 考慮外包協議是否允許商業銀行監測和控制與外包相關的操作風險。
（三） 充分審查、評估外包服務商的財務穩定性和專業經驗，對外包服務商進行風險評估，考查其設施和能力是否足以承擔相應的責任。
（四） 考慮外包協議變更前後實施的平穩過渡（包括終止合同可能發生的情況）。
（五） 關注可能存在的集中風險，如多家商業銀行共用同一外包服務商帶來的潛在業務連續性風險。
第五十八條 商業銀行在與外包服務商合同談判過程中，應考慮的因素包括但不限於：
（一） 對外包服務商的報告要求和談判必要條件。
（二） 銀行業監管機構和內部審計、外部審計能執行足夠的監督。
（三） 通過界定信息所有權、簽署保密協議和採取技術防護措施保護客戶信息和其他信息。
（四） 擔保和損失賠償是否充足。
（五） 外包服務商遵守商業銀行有關信息科技風險制度和流程的意願及相關措施。
（六） 外包服務商提供的業務連續性保障水平，以及提供相關專屬資源的承諾。
（七） 第三方供應商出現問題時，保證軟體持續可用的相關措施。
（八） 變更外包協議的流程，以及商業銀行或外包服務商選擇變更或終止外包協議的條件，例如：
1. 商業銀行或外包服務商的所有權或控制權發生變化。
2. 商業銀行或外包服務商的業務經營發生重大變化。
3. 外包服務商提供的服務不充分，造成商業銀行不能履行監督義務。
第五十九條 商業銀行在實施雙方關系管理，以及起草服務水平協議時，應考慮的因素包括但不限於：
（一） 提出定性和定量的績效指標，評估外包服務商為商業銀行及其相關客戶提供服務的充分性。
（二） 通過服務水平報告、定期自我評估、內部或外部獨立審計進行績效考核。
（三） 針對績效不達標的情況調整流程，採取整改措施。
第六十條 商業銀行應加強信息科技相關外包管理工作，確保商業銀行的客戶資料等敏感信息的安全，包括但不限於採取以下措施：
（一） 實現本銀行客戶資料與外包服務商其他客戶資料的有效隔離。
（二） 按照「必需知道」和「最小授權」原則對外包服務商相關人員授權。
（三） 要求外包服務商保證其相關人員遵守保密規定。
（四） 應將涉及本銀行客戶資料的外包作為重要外包，並告知相關客戶。
（五） 嚴格控制外包服務商再次對外轉包，採取足夠措施確保商業銀行相關信息的安全。
（六） 確保在中止外包協議時收回或銷毀外包服務商保存的所有客戶資料。
第六十一條 商業銀行應建立恰當的應急措施，應對外包服務商在服務中可能出現的重大缺失。尤其需要考慮外包服務商的重大資源損失，重大財務損失和重要人員的變動，以及外包協議的意外終止。
第六十二條 商業銀行所有信息科技外包合同應由信息科技風險管理部門、法律部門和信息科技管理委員會審核通過。商業銀行應設立流程定期審閱和修訂服務水平協議。

⑶ 商業銀行信息科技風險管理指引的介紹

為加強商業銀行信息科技風險管理，根據《中華人民共和國銀行業監督管理法》、《中華人民共和國商業銀行法》、《中華人民共和國外資銀行管理條例》，以及國家信息安全相關要求和有關法律法規，制定本指引。本指引適用於在中華人民共和國境內依法設立的法人商業銀行。政策性銀行、農村合作銀行、城市信用社、農村信用社、村鎮銀行、貸款公司、金融資產管理公司、信託公司、財務公司、金融租賃公司、汽車金融公司、貨幣經紀公司等其他銀行業金融機構參照執行。

⑷ 銀行信息科技風險應該如何管控

銀行業的外包風險管理是近幾年銀行監管的重點，銀監會為此先後發過幾個文：
《中國銀監會辦公廳關於開展銀行業金融機構信息科技非駐場集中式外包監管評估工作的通知》；
《銀行業金融機構信息科技外包風險管理指引》；
《中國銀監會辦公廳關於加強銀行業金融機構信息科技非駐場集中式外包風險管理的通知》；
這幾份文件都對如何實施信息科技風險管理起到指導性意見，可以進行參考。
實施供應商的風險管理可以從供應商服務的全生命周期入手，在供應商准入、供應商采購和合同、供應商服務監控、服務結束/終止、績效評估各個階段分別實施管理和技術方面的管理。

如果還需要更細化的操作方式可以找咨詢機構幫忙，安言咨詢有專門負責銀行業的總監應該能幫到你。

⑸ 銀行業金融機構信息系統風險管理指引的第五章　運行維護風險控制

第四十三條 運行維護風險是指信息系統在運行與維護過程中操作管理、變更管理、機房管理和事件管理等環節產生的風險。
第四十四條 銀行業金融機構信息系統運行與維護應實行職責分離，運行人員應實行專職，不得由其他人員兼任。運行人員應按操作規程巡檢和操作。維護人員應按授權和維護規程要求對生產狀態的軟硬體、數據進行維護，除應急外，其他維護應在非工作時間進行。
第四十五條 銀行業金融機構信息系統的運行應符合以下要求：
（一）制定詳細的運行值班操作表，包括規定巡檢時間，操作范圍、內容、辦法、命令以及負責人員等信息；
（二）提供常見和簡便的操作菜單或命令，如信息系統的啟動或停止、運行日誌的查詢等；
（三）提供機房環境、設備使用、網路運行、系統運行等監控信息；
（四）記錄運行值班過程中所有現象、操作過程等信息。
第四十六條 銀行業金融機構信息系統的維護應符合以下要求：
（一）除對信息系統設備和系統環境的維護外，對軟體或數據的維護必須通過特定的應用程序進行，添加、刪除和修改數據應通過櫃員終端，不得對資料庫進行直接操作；
（二）具備各種詳細的日誌信息，包括交易日誌和審計日誌等，以便維護和審計；
（三）提供維護的統計和報表列印功能。
第四十七條 銀行業金融機構信息系統的變更應符合以下要求：
（一）制訂嚴密的變更處理流程，明確變更控制中各崗位的職責，並遵循流程實施控制和管理；變更前應明確應急和回退方案，無授權不得進行變更操作；
（二）根據變更需求、變更方案、變更內容核實清單等相關文檔審核變更的正確性、安全性和合法性；
（三）應採用軟體工具精確判斷變更的真實位置和內容，形成變更內容核實清單，實現真實、有效、全面的檢驗；
（四）軟體版本變更後應保留初始版本和所有歷史版本，保留所有歷史的變更內容核實清單。
第四十八條 銀行業金融機構在信息系統投產後一定時期內，應組織對系統的後評價，並根據評價及時對系統功能進行調整和優化。
第四十九條 銀行業金融機構應對機房環境設施實行日常巡檢，明確信息系統及機房環境設施出現故障時的應急處理流程和預案，有實時交易服務的數據中心應實行24小時值班。
第五十條 銀行業金融機構應實行事件報告制度，發生信息系統造成重大經濟、聲譽損失和重大影響事件，應即時上報並處理，必要時啟動應急處理預案。

⑹ 怎麼操作銀行業金融機構績效考評監管指引

一、科學制定經營計劃
目前，一些銀行業金融機構在制定經營計劃時未充內分考慮市場發展狀況，容過分強調競爭排名，經營計劃指標脫離實際，大幅超過機構的發展能力。銀行業金融機構應綜合考慮社會經濟發展、市場變化以及自身發展戰略、風險偏好與風險管控能力等因素，科學測算和確定合理的年度經營計劃；及時將年度經營計劃和績效考評制度報送銀監會或有關派出機構。
二、合理分解考評任務
一些銀行業金融機構和內部業務條線部門在向下分解經營計劃和考評任務時，計劃越分越大，任務越壓越重，層層加碼，導致基層分支機構面臨較大考評壓力，經營行為扭曲，違規風險事件時有發生。銀行業金融機構要切實提高預算與績效考評的精細化管理，在向下級機構分解考評任務時，充分考慮其經營管理能力、金融服務水平及經營特色，合理確定考評要求。