广州银行信息科技风险管理办法.docx

《广州银行信息科技风险管理办法.docx》由会员分享，可在线阅读，更多相关《广州银行信息科技风险管理办法.docx（20页珍藏版）》请在第一文库网上搜索。

1、广州*银行信息科技风险管理办法第一章总则第一条为有效防范、控制、化解利用信息系统进行业务处理、经营管理和内部控制过程中产生的风险，促进全行安全、持续、稳健发展，根据商业银行信息科技风险管理指引和有关信息系统管理的法规、标准，制定本办法。第二条信息科技风险是指信息科技在银行业运用过程中，由于自然因素、人为因素、技术漏洞和管理缺陷产生的操作、法律和声誉等风险。第三条本办法信息科技风险管理，包括信息科技风险组织保障体系、总体风险控制、管理风险控制、开发风险控制、运行维护风险控制、外包风险控制以及信息科技风险审计等。第四条全行信息科技风险管理按照统一规划建设、全面综合防治、技术管理并重、保障运营安全的

2、原则，防范风险，保障业务的持续性和信息的安全性、完整性、可用性。第五条信息科技风险管理的目标是通过建立有效的机制，实现对本行信息科技风险的识别、计量、监测和控制,促进本行安全、持续、稳健运行，推动业务创新，提高信息技术使用水平，增强核心竞争力和可持续发展能力。第六条本制度适用于总行、各分支行，附属机构。第二章组织保障体系第七条根据本行信息科技治理的要求，法定代表人是本行信息科技风险管理第一责任人，负责组织本办法的贯彻落实，董事会应履行以下信息科技管理职责：（一）遵守并贯彻执行国家有关信息科技管理的法律、法规和技术标准，落实中国银保监会相关监管要求。（二）审查批准信息科技战略，确保其与本行的总体

3、业务战略和重大策略相一致。评估信息科技及其风险管理工作的总体效果和效率。（三）掌握主要的信息科技风险，确定可接受的风险级别，确保相关风险能够被识别、计量、监测和控制。（四）规范职业道德行为和廉洁标准，增强本行内部文化建设，提高全行员工对信息科技风险管理重要性的认识。（五）设立一个由来自高级管理层、信息科技部门和主要业务部门的代表组成的专门信息科技管理委员会，负责监督各项职责的落实，定期向董事会和高级管理层汇报信息科技战略规划的执行、信息科技预算和实际支出、信息科技的整体状况。（六）在建立良好的公司治理的基础上进行信息科技治理，形成分工合理、职责明确、相互制衡、报告关系清晰的信息科技治理组织结构

4、。加强信息科技专业队伍的建设，建立人才激励机制。（七）确保内部审计部门进行独立有效的信息科技风险管理审计，对审计报告进行确认并落实整改。（A）每年审阅并向银保监会及其派出机构报送信息科技风险管理的年度报告。（九）确保信息科技风险管理工作所需资金。（十）确保银行所有员工充分理解和遵守经其批准的信息科技风险管理制度和流程，并安排相关培训。（十一）确保本法人机构涉及客户信息、账务信息以及产品信息等的核心系统在中国境内独立运行，并保持最高的管理权限，符合中国银保监会监管和实施现场检查的要求，防范跨境风险。（十二）及时向中国银保监会及其派出机构报告本机构发生的重大信息科技事故或突发事件，按相关预案快速响

5、应。（十三）配合中国银保监会及其派出机构做好信息科技风险监督检查工作，并按照监管意见进行整改。（十四）履行信息科技风险管理其他相关工作。第八条本行应设立首席信息官，首席信息官直接向总行行长汇报，并参与决策。首席信息官的职责为：（一）直接参与本行与信息科技运用有关的业务发展决策。（二）确保信息科技战略，尤其是信息系统开发战略，符合本银行的总体业务战略和信息科技风险管理策略。（三）负责建立一个切实有效的信息科技部门，承担本银行的信息科技职责。确保其履行：信息科技预算和支出、信息科技策略、标准和流程、信息科技内部控制、专业化研发、信息科技项目发起和管理、信息系统和信息科技基础设施的运行、维护和升级、

6、信息安全管理、灾难恢复计划、信息科技外包和信息系统退出等职责。（四）确保信息科技风险管理的有效性，并使有关管理措施落实到相关的每一个内设机构和分支机构。（五）组织专业培训，提高人才队伍的专业技能。（六）履行信息科技风险管理其他相关工作。第九条本行需设立风险管理委员会和信息科技管理委员会。第十条风险管理委员会的工作职责为负责组织落实国家及中国人民银行、中国银保监会关于信息科技风险工作的方针政策，研究决定全行信息科技风险的重大事项，审批、组织信息科技风险工作的计划和实施；检查信息科技风险措施的执行情况。第十一条信息科技管理委员会的工作职责为：（一）审议IT战略规划，并报董事会批准。（二）对审定的I

7、T战略规划进行执行和推动。（三）审定全行重要的IT管理制度、标准、流程和策略。（四）审定全行信息安全管理体系建设方案，评估全行信息安全风险。（五）调整IT项目和活动的优先级，对重要IT项目和活动进行监督、指导和评估。（六）在全行全面风险管理框架下，推动和落实信息科技风险管理规定和相关要求。（七）向董事会及高级管理层汇报信息科技战略规划的执行情况、预算和实际支出情况、信息科技整体状况、面临的主要风险及应对措施。（A）审定重大IT项目建设方案和技术架构。（九）审定重大IT项目终止及系统下线。（十）其它需要信科委审定的事项。第十二条各分（支）行主要负责人是本机构信息科技风险管理的第一责任人，信息科技

8、风险管理状况纳入本机构考核体系。第十三条总行风险管理部负责协调制定有关信息科技风险管理策略，尤其是在涉及信息安全、业务连续性计划和合规性风险等方面，为业务部门和科技信息部门提供建议及相关合规性信息，实施持续信息科技风险评估，跟踪整改意见的落实。具体职责包括：（一）制定持续的风险识别和评估流程，确定信息科技中存在隐患的区域，评价风险对其业务的潜在影响，对风险进行排序，并确定风险防范措施及所需资源的优先级别；（二）建立持续的信息科技风险计量和监测机制；（三）组织开展全行业务连续性管理工作，指导、评估、监督各部门的业务连续性管理工作；组织制定业务连续性计划，协调业务条线部门，汇总、确定重要业务的恢复

9、目标和恢复策略；组织开展业务连续性计划的演练、评估与改进；开展业务连续性管理培训等；（四）定期开展外包风险管理评估，保持评估的独立性,并向高级管理层提交评估报告。评估内容包括：信息科技外包战略执行情况、外包信息安全、机构集中度、服务连续性、服务质量、政策及市场变化对外包服务的影响分析等；（五）定期开展数据中心风险评估工作，对风险进行分级管理，持续监督风险管理状况，及时预警，将风险控制在可接受水平；（六）充分识别、分析、评估重要信息系统投产及变更风险，包括系统功能缺陷、客户信息泄露、业务中断、交易缓慢或其他因素可能造成的操作风险、法律风险和声誉风险，并形成风险评估报告。第十四条总行科技部统一负责

10、信息科技的规划、开发、建设、运行、维护和监控，提供日常科技服务和运行技术支持，对信息科技风险防范进行专业化管理。第十五条总行审计部负责信息科技风险的内部审计工作。第十六条总行科技部、风险管理部和审计部应配备适量的合格人员进行信息科技风险评估和审计。第十七条各分（支）行负责落实本行制定的各项风险防控政策在辖内的执行、制定（细则或补充规定）和实施情况。各分行应配备专职信息科技人员，各支行应配备兼职的科技协管员，负责本机构的信息系统安全及风险控制。第十八条总行科技部应明确信息科技安全、开发、维护、运行管理和设备管理岗位的职责，做到岗位之间互相制约，各岗位之间不得互相兼任，维护、安全等重要岗位实行A、

11、B岗。第十九条科技部工作人员应符合以下要求：（一）具备良好的职业道德，掌握履行信息科技相关岗位职责所需的专业知识和技能。（二）未经岗前培训或培训不合格者不得上岗。（三）经考核不适宜的工作人员，及时进行调整。第三章总体风险控制第二十条总体风险是指全行信息科技在策略、管理、制度、软件、硬件、网络、数据、文档、机房、操作等方面影响全局或共有的风险。第二十一条总行各部（室）、各分（支）行应严格执行国家信息安全相关标准，参照有关国家标准，积极推进信息安全标准化。第二十二条建立健全与信息科技相关的规章制度、技术规范和操作规程，明确信息科技相关人员的职责权限，建立制约机制，防范信息科技风险。各相关部门应加强

12、沟通协调，确保系统的整体安全。第二十三条重视知识产权保护工作，使用正版软件，优先使用我国具有自主知识产权的软硬件产品；积极研发具有自主知识产权的信息系统和相关金融产品，并采取有效措施保护信息化成果；加强软件版本管理。第二十四条总行科技部应建立健全信息系统使用的相关规章制度和操作规程，明确信息系统使用人员的职责权限，建立制约机制，实行最小授权。第二十五条总行科技部和相关业务部门对信息系统实施有效的用户授权和访问控制管理，根据业务和安全的要求，对信息和业务程序的访问权限，对用户的创建、变更、删除、用户口令的设置和失效等均建立严格的控制。第二十六条总行科技部和相关业务部门应加强信息系统加密机、密钥、

13、密码和加密程序等安全要素的管理，使用符合国家安全标准的密码设备，完善安全要素生成、领取、使用、修改、保管和销毁等环节管理制度。密钥、密码应定期更改。第二十七条与信息系统相关的软、硬件设备的选型、购置、登记、保养、维修、报废等必须严格执行相关制度，选用设备须经过技术论证，对供应商的资格条件进行严格审查，在使用前按照本行相关制度进行试用性安全测试，明确产品供应商对产品在使用期间应承担的责任，确保产品正常使用和有效维护。信息系统所用的服务器等关键设备应具有较高的可靠性、充足的容量和一定的容错特性，并配置适当的备品备件。第二十八条网络系统的设计、建设要按照相关标准和规范，兼备技术先进性和产品成熟性；网

14、络设备和线路应有冗余备份；严格线路租用合同管理，按照业务和交易流量要求保证传输带宽；建立健全网络管理系统，有效管理网络的安全、故障、性能和配置等；实现内部网络与外部网络的隔离，加强网络边界管理，使用技术手段有效降低外部攻击、信息泄漏等风险；加强接入国际互联网的管理。第二十九条机房建设必须符合国家有关计算机场地、环境和供配电等技术标准。出入机房应当有严格的审批程序和出入记录，未经授权不得进入，确保机房环境和计算机硬件、各种存储介质的物理安全。第三十条建立计算机安全应急机制，制定详细的应急预案，并定期进行演练、评审和修订；通过预防性和恢复性措施的结合，把灾难或安全事故（如自然灾害、突发事件、设备故

15、障和故意行为）所导致的破坏减少到最低水平。第三十一条信息系统可能影响客户服务时，应以适当的方式告知客户。第四章管理风险控制第三十二条制定全面的信息科技风险管理策略，包括但不限于下述领域：（一）信息分级与保护。（二）信息系统开发、测试和维护。（S）信息科技运行和维护。（四）访问控制。（五）物理安全。（六）人员安全。（七）业务连续性计划与应急处置。第三十三条管理风险是指在信息科技专业化管理的制度建设、中长期规划和年度计划、可持续发展、机构建设、人员管理和信息安全管理等方面产生的风险。第三十四条按照专业化管理、信息安全、应用开发、运行维护的框架体系和信息科技管理操作流程，不断加强规章制度、技术规范、

16、操作规程等的建设，明确各个岗位责任和岗位流程的前后衔接。第三十五条建立健全信息科技制度的制定、审批和修订流程，使信息科技制度与国家、行业有关法律法规和本行总体业务发展相一致。第三十六条总行科技部负责组织制定中长期信息科技发展规划和年度工作计划，报告批准后组织实施，并根据业务发展状况组织定期修订。根据信息科技中长期规划和年度工作计划，制定明确、持续的风险管理规划，按照信息科技的敏感程度对各个集成要素进行分析和评估，采取措施防范自然灾害、运行环境变化等产生的安全威胁，防范各类突发事件和恶意攻击。第三十七条逐步建立异地灾难备份中心，在数据中心发生重大安全事件时保障业务的连续性。第三十八条每年组织信息科技相关员工的专业素质调查，对新员工