銀行業金融機構全面風險管理指引的通知

1. 銀行業金融機構外包風險管理指引是否現行有效

有效，但是不如銀行自己培養幾個有風險管理能力的人，這樣也能提高銀行抗風險的能力，不受制於外包機構

2. 銀行業金融機構國別風險管理指引的附件2：國別風險評估因素

（一）政治穩定性
（二）政治力量平衡性
（三）政體成熟程度
（四）地緣政治與外交關系狀況 （一）宏觀經濟運行情況
1.經濟增長水平、模式和可持續性；
2.通貨膨脹水平；
3.就業情況；
4.支柱產業狀況。
（二）國際收支平衡狀況
1.經常賬戶狀況和穩定性；
2.國外資本流入情況；
3.外匯儲備規模。
（三）金融指標表現
1.貨幣供應量；
2.利率；
3.匯率。
（四）外債結構、規模和償債能力
（五）政府財政狀況
（六）經濟受其他國家或地區問題影響的程度
（七）是否為國際金融中心，主要市場功能、金融市場基礎設施完備程度和監管能力 （一）金融體系
1.金融系統發達程度；
2.金融系統杠桿率和資金來源穩定性；
3.金融發展與實體經濟匹配性；
4.銀行體系增長情況，私人部門信貸增長情況。
（二）法律體系
（三）投資政策
（四）遵守國際法律、商業、會計和金融監管等標准情況，以及信息透明度
（五）政府糾正經濟及預算問題的意願和能力 （一）社會文明程度和文化傳統
（二）宗教民族矛盾
（三）恐怖主義活動
（四）其他社會問題，包括但不限於犯罪和治安狀況、自然條件和自然災害、疾病瘟疫等

3. 銀行業金融機構信息系統風險管理指引的介紹

此文件已廢除，新文件《商業銀行信息科技風險管理指引》

4. 銀行業金融機構信息系統風險管理指引的主要要求是什麼

機構職責
第六條 銀行業金融機構應建立有效的信息系統風險管理架構，完善內部組織結構和工作機制，防範和控制信息系統風險。
第七條 銀行業金融機構應認真履行下列信息系統管理職責：
（一）貫徹執行國家有關信息系統管理的法律、法規和技術標准，落實銀監會相關監管要求；
（二）建立有效的信息安全保障體系和內部控制規程，明確信息系統風險管理崗位責任制度，並監督落實；
（三）負責組織對本機構信息系統風險進行檢查、評估、分析，及時向本機構專門委員會和銀監會及其派出機構報送相關的管理信息；
（四）及時向銀監會及其派出機構報告本機構發生的重大信息系統事故或突發事件，並按有關預案快速響應；
（五）每年經董事會或其他決策機構審查後向銀監會及其派出機構報送信息系統風險管理的年度報告；
（六）做好本機構信息系統審計工作；
（七）配合銀監會及其派出機構做好信息系統風險監督檢查工作，並按照監管意見進行整改；
（八）組織本機構信息系統從業人員進行信息系統有關的業務、技術和安全培訓；
（九）開展與信息系統風險管理相關的其他工作。
第八條 銀行業金融機構的董事會或其他決策機構負責信息系統的戰略規劃、重大項目和風險監督管理；信息科技管理委員會、風險管理委員會或其他負責風險監督的專業委員會應制定信息系統總體策略，統籌信息系統項目建設，定期評估、報告本機構信息系統風險狀況，為決策層提供建議，採取相應的風險控制措施。
第九條 銀行業金融機構法定代表人或主要負責人是本機構信息系統風險管理責任人。
第十條 銀行業金融機構應設立信息科技部門，統一負責本機構信息系統的規劃、研發、建設、運行、維護和監控，提供日常科技服務和運行技術支持；建立或明確專門信息系統風險管理部門，建立、健全信息系統風險管理規章、制度，並協助業務部門及信息科技部門嚴格執行，提供相關的監管信息；設立審計部門或專門審計崗位，建立健全信息系統風險審計制度，配備適量的合格人員進行信息系統風險審計。
第十一條 銀行業金融機構從事與信息系統相關工作的人員應符合以下要求：
（一）具備良好的職業道德，掌握履行信息系統相關崗位職責所需的專業知識和技能；
（二）未經崗前培訓或培訓不合格者不得上崗；經考核不適宜的工作人員，應及時進行調整。
第十二條 銀行業金融機構應加強信息系統風險管理的專業隊伍建設，建立人才激勵機制，適應信息技術的發展。
第十三條 銀行業金融機構應依據有關法律法規及時和規范地披露信息系統風險狀況。
總體風險控制
第十四條 總體風險是指信息系統在策略、制度、機房、軟體、硬體、網路、數據、文檔等方面影響全局或共有的風險。
第十五條 銀行業金融機構應根據信息系統總體規劃，制定明確、持續的風險管理策略，按照信息系統的敏感程度對各個集成要素進行分析和評估，並實施有效控制。
第十六條 銀行業金融機構應採取措施防範自然災害、運行環境變化等產生的安全威脅，防止各類突發事故和惡意攻擊。
第十七條 銀行業金融機構應建立健全信息系統相關的規章制度、技術規范、操作規程等；明確與信息系統相關人員的職責許可權，建立制約機制，實行最小授權。
第十八條 在境外設立的我國銀行業金融機構或在境內設立的境外銀行業金融機構，應防範由於境內外信息系統監管制度差異等造成的跨境風險。
第十九條 銀行業金融機構應嚴格執行國家信息安全相關標准，參照有關國際准則，積極推進信息安全標准化，實行信息安全等級保護。
第二十條 銀行業金融機構應加強對信息系統的評估和測試，及時進行修補和更新，以保證信息系統的安全性、完整性。
第二十一條 銀行業金融機構信息系統數據中心機房應符合國家有關計算機場地、環境、供配電等技術標准。全國性數據中心至少應達到國家A類機房標准，省域數據中心至少應達到國家B類機房標准，省域以下數據中心至少應達到C類機房標准。數據中心機房應實行嚴格的門禁管理措施，未經授權不得進入。
第二十二條 銀行業金融機構應重視知識產權保護，使用正版軟體，加強軟體版本管理，優先使用具有中國自主知識產權的軟、硬體產品；積極研發具有自主知識產權的信息系統和相關金融產品，並採取有效措施保護本機構信息化成果。
第二十三條 銀行業金融機構與信息系統相關的電子設備的選型、購置、登記、保養、維修、報廢等應嚴格執行相關規程，選用的設備應經過技術論證，測試性能應符合國家有關標准。信息系統所用的伺服器等關鍵設備應具有較高的可靠性、充足的容量和一定的容錯特性，並配置適當的備品備件。
第二十四條 信息系統的網路應參照相關的標准和規范設計、建設；網路設備應兼備技術先進性和產品成熟性；網路設備和線路應有冗餘備份；嚴格線路租用合同管理，按照業務和交易流量要求保證傳輸帶寬；建立完善的網管中心，監測和管理通信線路及網路設備，保障網路安全穩定運行。
第二十五條 銀行業金融機構應加強網路安全管理。生產網路與開發測試網路、業務網路與辦公網路、內部網路與外部網路應實施隔離；加強無線網、互聯網接入邊界控制；使用內容過濾、身份認證、防火牆、病毒防範、入侵檢測、漏洞掃描、數據加密等技術手段，有效降低外部攻擊、信息泄漏等風險。
第二十六條 銀行業金融機構應加強信息系統加密機、密鑰、密碼、加解密程序等安全要素的管理，使用符合國家安全標準的密碼設備，完善安全要素生成、領取、使用、修改、保管和銷毀等環節管理制度。密鑰、密碼應定期更改。
第二十七條 銀行業金融機構應加強數據採集、存貯、傳輸、使用、備份、恢復、抽檢、清理、銷毀等環節的有效管理，不得脫離系統採集加工、傳輸、存取數據；優化系統和資料庫安全設置，嚴格按授權使用系統和資料庫，採用適當的數據加密技術以保護敏感數據的傳輸和存取，保證數據的完整性、保密性。
第二十八條 銀行業金融機構應對信息系統配置參數實施嚴格的安全與保密管理，防止非法生成、變更、泄漏、丟失與破壞。根據敏感程度和用途，確定存取許可權、方式和授權使用范圍，嚴格審批和登記手續。

第二十九條 銀行業金融機構應制定信息系統應急預案，並定期演練、評審和修訂。省域以下數據中心至少實現數據備份異地保存，省域數據中心至少實現異地數據實時備份，全國性數據中心實現異地災備。
第三十條 銀行業金融機構應加強對技術文檔資料和重要數據的備份管理；技術文檔資料和重要數據應保留副本並異地存放，按規定年限保存，調用時應嚴格授權。信息系統的技術文檔資料包括：系統環境說明文件、源程序以及系統研發、運行、維護過程中形成的各類技術資料。重要數據包括：交易數據、賬務數據、客戶數據，以及產生的報表數據等。
第三十一條 銀行業金融機構在信息系統可能影響客戶服務時，應以適當方式告知客戶。
研發風險控制
第三十二條 研發風險是指信息系統在研發過程中組織、規劃、需求、分析、設計、編程、測試和投產等環節產生的風險。
第三十三條 銀行業金融機構信息系統研發前應成立項目工作小組，重大項目還應成立項目領導小組，並指定負責人。項目領導小組負責項目的組織、協調、檢查、監督工作。項目工作小組由業務人員、技術人員和管理人員組成，具體負責整個項目的開發工作。
第三十四條 項目工作小組人員應具備與項目要求相適應的業務經驗與專業技術知識，小組負責人需具備組織領導能力,保證信息系統研發質量和進度。
第三十五條 銀行業金融機構業務部門根據本機構業務發展戰略，在充分進行市場調查、產品效益分析的基礎上制定信息系統研發項目可行性報告。
第三十六條 銀行業金融機構業務部門編寫項目需求說明書，提出風險控制要求，信息科技部門根據項目需求編制項目功能說明書。
第三十七條 銀行業金融機構信息科技部門依據項目功能說明書分別編寫項目總體技術框架、項目設計說明書，設計和編碼應符合項目功能說明書的要求。
第三十八條 銀行業金融機構應建立獨立的測試環境，以保證測試的完整性和准確性。測試至少應包括功能測試、安全性測試、壓力測試、驗收測試、適應性測試。測試不得直接使用生產數據。
第三十九條 銀行業金融機構信息科技部門應根據測試結果修補系統的功能和缺陷，提高系統的整體質量。
第四十條 銀行業金融機構業務人員、技術人員應根據職責范圍分別編寫操作說明書、技術應急方案、業務連續性計劃、投產計劃、應急回退計劃，並進行演練。

第四十一條 開發過程中所涉及的各種文檔資料應經相關部門、人員的簽字確認並歸檔保存。
第四十二條 項目驗收應出具由相關負責人簽字的項目驗收報告，驗收不合格不得投產使用。
第五章運行維護風險控制
第四十三條 運行維護風險是指信息系統在運行與維護過程中操作管理、變更管理、機房管理和事件管理等環節產生的風險。
第四十四條 銀行業金融機構信息系統運行與維護應實行職責分離，運行人員應實行專職，不得由其他人員兼任。運行人員應按操作規程巡檢和操作。維護人員應按授權和維護規程要求對生產狀態的軟硬體、數據進行維護，除應急外，其他維護應在非工作時間進行。
第四十五條 銀行業金融機構信息系統的運行應符合以下要求：
（一）制定詳細的運行值班操作表，包括規定巡檢時間，操作范圍、內容、辦法、命令以及負責人員等信息；
（二）提供常見和簡便的操作菜單或命令，如信息系統的啟動或停止、運行日誌的查詢等；
（三）提供機房環境、設備使用、網路運行、系統運行等監控信息；
（四）記錄運行值班過程中所有現象、操作過程等信息。
第四十六條 銀行業金融機構信息系統的維護應符合以下要求：
（一）除對信息系統設備和系統環境的維護外，對軟體或數據的維護必須通過特定的應用程序進行，添加、刪除和修改數據應通過櫃員終端，不得對資料庫進行直接操作；
（二）具備各種詳細的日誌信息，包括交易日誌和審計日誌等，以便維護和審計；
（三）提供維護的統計和報表列印功能。
第四十七條 銀行業金融機構信息系統的變更應符合以下要求：
（一）制訂嚴密的變更處理流程，明確變更控制中各崗位的職責，並遵循流程實施控制和管理；變更前應明確應急和回退方案，無授權不得進行變更操作；
（二）根據變更需求、變更方案、變更內容核實清單等相關文檔審核變更的正確性、安全性和合法性；
（三）應採用軟體工具精確判斷變更的真實位置和內容，形成變更內容核實清單，實現真實、有效、全面的檢驗；
（四）軟體版本變更後應保留初始版本和所有歷史版本，保留所有歷史的變更內容核實清單。
第四十八條 銀行業金融機構在信息系統投產後一定時期內，應組織對系統的後評價，並根據評價及時對系統功能進行調整和優化。
第四十九條 銀行業金融機構應對機房環境設施實行日常巡檢，明確信息系統及機房環境設施出現故障時的應急處理流程和預案，有實時交易服務的數據中心應實行24小時值班。
第五十條 銀行業金融機構應實行事件報告制度，發生信息系統造成重大經濟、聲譽損失和重大影響事件，應即時上報並處理，必要時啟動應急處理預案。
外包風險控制
第五十一條 外包風險是指銀行業金融機構將信息系統的規劃、研發、建設、運行、維護、監控等委託給業務合作夥伴或外部技術供應商時形成的風險。
第五十二條 銀行業金融機構在進行信息系統外包時，應根據風險控制和實際需要，合理確定外包的原則和范圍，認真分析和評估外包存在的潛在風險，建立健全有關規章制度，制定相應的風險防範措施。
第五十三條 銀行業金融機構應建立健全外包承包方評估機制，充分審查、評估承包方的經營狀況、財務實力、誠信歷史、安全資質、技術服務能力和實際風險控制與責任承擔水平，並進行必要的盡職調查。評估工作可委託經國家相應監管部門認定資質，具有相關專業經驗的獨立機構完成。
第五十四條 銀行業金融機構應當與承包方簽訂書面合同，明確雙方的權利、義務，並規定承包方在安全、保密、知識產權方面的義務和責任。
第五十五條 銀行業金融機構應充分認識外包服務對信息系統風險控制的直接和間接影響，並將其納入總體安全策略和風險控制之中。
第五十六條 銀行業金融機構應建立完整的信息系統外包風險評估與監測程序，審慎管理外包產生的風險，提高本機構對外包管理的能力。
第五十七條 銀行業金融機構的信息系統外包風險管理應當符合風險管理標准和策略，並應建立針對外包風險的應急計劃。
第五十八條 銀行業金融機構應與外包承包方建立有效的聯絡、溝通和信息交流機制，並制定在意外情況下能夠實現承包方的順利變更，保證外包服務不間斷的應急預案。
第五十九條 銀行業金融機構將敏感的信息系統，以及其他涉及國家秘密、商業秘密和客戶隱私數據的管理與傳遞等內容進行外包時，應遵守國家有關法律法規，符合銀監會的有關規定，經過董事會或其他決策機構批准，並在實施外包前報銀監會及其派出機構和法律法規規定需要報告的機構備案。

5. 銀行業金融機構國別風險管理指引的銀監會解讀

銀監會有關負責人就《銀行業金融機構國別風險管理指引》答記者問
近日，銀監會發布了《銀行業金融機構國別風險管理指引》（以下簡稱《指引》），銀監會有關負責人就有關問題回答了記者提問。
答：國別風險是指由於某一國家或地區經濟、政治、社會變化及事件，導致該國家或地區借款人或債務人沒有能力或者拒絕償付銀行業金融機構債務，或使銀行業金融機構在該國家或地區遭受其他損失的風險。這種損失包括商業存在和其他任何可能的損失。
國別風險存在於授信、國際資本市場業務、設立境外機構、代理行往來和由境外服務提供商提供的外包服務等經營活動中。其中，轉移風險是國別風險的主要類型之一，是指借款人或債務人由於本國外匯儲備不足或外匯管制等原因，無法獲得所需外匯償還其境外債務的風險。銀行業金融機構對國別風險事件往往難以施加影響或控制，因此，加強國別風險管理更為重要。 答：隨著我國銀行業金融機構國際化進程的推進，面臨的國別風險勢必日益加大，國際金融危機的爆發進一步凸顯了加強國別風險管理的重要性與必要性，巴塞爾銀行監管委員會《有效銀行監管核心原則》也對此提出了明確要求。制定並發布《指引》，對於提升我國銀行業金融機構國別風險管理能力，防範金融危機的沖擊具有重要意義：
一是為銀行業金融機構提高國別風險管理水平提供依據和指導。《指引》通過借鑒國際先進經驗並和中國實際相結合，清晰劃分銀行業金融機構內部國別風險管理職責，規范銀行業金融機構國別風險管理的識別、計量、監測和控制等各個環節，可以引導和督促銀行業金融機構加強國別風險管理。本《指引》和銀監會已經頒布的其他風險管理指引共同構成銀行業金融機構風險管理指引體系。
二是明確國別風險准備金計提要求，有效提高銀行業金融機構的風險抵補能力。《指引》明確要求銀行業金融機構在計提資產減值准備時，充分考慮國別風險因素。為確保計提的充分性和一致性，監管當局對計提比例進行了規定。
三是為監管當局監督檢查提供標准。監管當局對銀行業金融機構國別風險管理的有效性進行評估是有效監管核心原則的要求，也是督促銀行業金融機構提高國別風險管理水平的重要保證。《指引》確定的國別風險管理標准為監管當局的監督檢查奠定了基礎，提供了明確的標桿，有助於提高國別風險監督檢查的有效性和針對性。 答：《指引》有助於提升銀行業金融機構國別風險管理意識和水平，推動銀行業金融機構國別風險管理體系的建立和完善，為監管當局的監督檢查提供標准和依據。《指引》對促進銀行業金融機構提高國別風險管理能力的意義在於：第一，《指引》充分覆蓋了巴塞爾銀行監管委員會關於國別風險管理的主要元素，吸收了國際上主要監管當局的監管實踐，對銀行業金融機構構建國別風險管理體系提出了明確要求；第二，借鑒了國際銀行業在國別風險管理方面的普遍做法和相關技術，為銀行業金融機構管理國別風險提供了有益參考；第三，明確了國別風險准備金計提標准和比例，有利於監督銀行業金融機構計提充分的國別風險准備金，並確保計提標準的一致性，提高銀行業金融機構風險抵補能力。

6. 銀行業金融機構國別風險管理指引的附件3：國別風險分類標准

低國別風險：國家或地區政體穩定，經濟政策（無論在經濟繁榮期還是蕭條期）被證明有效且正確，不存在任何外匯限制，有及時償債的超強能力。目前及未來可預計一段時間內，不存在導致對該國家或地區投資遭受損失的國別風險事件，或即便事件發生，也不會影響該國或地區的償債能力或造成其他損失。
較低國別風險：該國家或地區現有的國別風險期望值低，償債能力足夠，但目前及未來可預計一段時間內，存在一些可能影響其償債能力或導致對該國家或地區投資遭受損失的不利因素。
中等國別風險：指某一國家或地區的還款能力出現明顯問題，對該國家或地區的貸款本息或投資可能會造成一定損失。
較高國別風險：該國家或地區存在周期性的外匯危機和政治問題，信用風險較為嚴重，已經實施債務重組但依然不能按時償還債務，該國家或地區借款人無法足額償還貸款本息，即使執行擔保或採取其他措施，也肯定要造成較大損失。
高國別風險：指某一國家或地區出現經濟、政治、社會動盪等國別風險事件或出現該事件的概率較高，在採取所有可能的措施或一切必要的法律程序後，對該國家或地區的貸款本息或投資仍然可能無法收回，或只能收回極少部分。

7. 銀行業金融機構外包風險管理指引

不是。
銀行業金融機構外包風險管理指引不是法律，是規范性文件。

銀行業金融機構外包風險管理指引，是為了規范銀行業金融機構的外包活動，保障銀行業金融機構業務持續經營，依據《中華人民共和國銀行業監督管理法》、《中華人民共和國商業銀行法》等有關法律法規，制定的指引。

8. 銀行業金融機構信息系統風險管理指引的第五章　運行維護風險控制

第四十三條 運行維護風險是指信息系統在運行與維護過程中操作管理、變更管理、機房管理和事件管理等環節產生的風險。
第四十四條 銀行業金融機構信息系統運行與維護應實行職責分離，運行人員應實行專職，不得由其他人員兼任。運行人員應按操作規程巡檢和操作。維護人員應按授權和維護規程要求對生產狀態的軟硬體、數據進行維護，除應急外，其他維護應在非工作時間進行。
第四十五條 銀行業金融機構信息系統的運行應符合以下要求：
（一）制定詳細的運行值班操作表，包括規定巡檢時間，操作范圍、內容、辦法、命令以及負責人員等信息；
（二）提供常見和簡便的操作菜單或命令，如信息系統的啟動或停止、運行日誌的查詢等；
（三）提供機房環境、設備使用、網路運行、系統運行等監控信息；
（四）記錄運行值班過程中所有現象、操作過程等信息。
第四十六條 銀行業金融機構信息系統的維護應符合以下要求：
（一）除對信息系統設備和系統環境的維護外，對軟體或數據的維護必須通過特定的應用程序進行，添加、刪除和修改數據應通過櫃員終端，不得對資料庫進行直接操作；
（二）具備各種詳細的日誌信息，包括交易日誌和審計日誌等，以便維護和審計；
（三）提供維護的統計和報表列印功能。
第四十七條 銀行業金融機構信息系統的變更應符合以下要求：
（一）制訂嚴密的變更處理流程，明確變更控制中各崗位的職責，並遵循流程實施控制和管理；變更前應明確應急和回退方案，無授權不得進行變更操作；
（二）根據變更需求、變更方案、變更內容核實清單等相關文檔審核變更的正確性、安全性和合法性；
（三）應採用軟體工具精確判斷變更的真實位置和內容，形成變更內容核實清單，實現真實、有效、全面的檢驗；
（四）軟體版本變更後應保留初始版本和所有歷史版本，保留所有歷史的變更內容核實清單。
第四十八條 銀行業金融機構在信息系統投產後一定時期內，應組織對系統的後評價，並根據評價及時對系統功能進行調整和優化。
第四十九條 銀行業金融機構應對機房環境設施實行日常巡檢，明確信息系統及機房環境設施出現故障時的應急處理流程和預案，有實時交易服務的數據中心應實行24小時值班。
第五十條 銀行業金融機構應實行事件報告制度，發生信息系統造成重大經濟、聲譽損失和重大影響事件，應即時上報並處理，必要時啟動應急處理預案。

9. 銀行業金融機構國別風險管理指引的附件1：國別風險主要類型

間接國別風險指某一國家經濟、政治或社會狀況惡化，威脅到在該國有重大商業關系或利益的本國借款人的還款能力的風險。
間接國別風險無需納入正式的國別風險管理程序中，但銀行業金融機構在評估本地借款人的信用狀況時，應適當考慮國別風險因素。

10. 銀行業金融機構國別風險管理指引的銀監發[2010]45號

各銀監局，各政策性銀行、國有商業銀行、股份制商業銀行、金融資產管理公司，國家開發銀行、郵政儲蓄銀行，各省級農村信用聯社，銀監會直接監管的信託公司、企業集團財務公司、金融租賃公司：
現將《銀行業金融機構國別風險管理指引》印發給你們，請遵照執行。
請各銀監局將本通知轉發至轄內各銀監分局和銀行業金融機構。
二○一○年六月八日