关于中小商业银行信息科技“自主可控”的思考和实践

关于中小商业银行信息科技“自主可控”的思考和实践恒丰银行 俞晨 高大鹏近年来，随着国产技术的不断发展和成熟，在银保监会的大力推动下，我国银行业信息科技自主可控建设取得了突破性进展。

基于自身发展和安全管理需要，银行主动提升自主可控的管理能力和建设水平，但各类银行能力水平参差不齐。

大型银行技术储备充足，经济实力雄厚，市场议价能力强，自主可控工作进展较快；中小型银行受制于技术基础薄弱，科技预算少，采购规模偏小等原因，自主可控工作虽取得了一定的成效，但仍然面临诸多问题亟待解决。

本文基于我国中小商业银行的现状，结合恒丰银行信息科技自主可控建设的实践，探讨我国中小商业银行如何实施持续、稳健的自主可控信息科技建设。

一、中小商业银行信息科技“自主可控”的战略思考信息科技“自主可控”，大众化的理解主要包括两个含义。

一是指国家宏观战略层面，信息科技软硬件产品要实现国产化，其宗旨是信息科技的安全可控要由“国人”掌控；二是银行微观层面，指商业银行在信息科技建设中，信息系统要自主研发，由银行员工替代供应商服务。

2014年9月，原银监会联合三部委出台《关于应用安全可控信息技术加强银行业网络安全和信息化建设的指导意见》（银监发〔2014〕39号，以下简称“39号文”），意在全面推进银行业信息科技自主可控能力的建设，要求银行应将安全可控信息技术应用纳入战略规划，建立安全可控的长效机制，掌握信息化的核心知识和关键技术。

纵观过去几年，中小商业银行在人才匮乏、资源紧缺的情况下，虽然萌生信息科技自主可控的内生需求，但离实现真正的自主可控却有很长的路要走。

我们深知，全球化经济的分工必然导致“产品”及“资本”的全球化，自主和可控均是相对的。

中小商业银行的“自主可控”不能简单理解为国产化替代，也不是机械地用本行自主研发替代供应商服务。

“自主可控”应是在遵照国家政策和监管要求的基础上，通过对本行科技体系的顶层规划，加强自主设计、强化过程管理，在拥有自主知识产权或使用权的前提下，把握主导权，达到过程可控、质量可控、成果可控、运维可控及风险可控。

在具体实施过程中，应当始终坚持如下几点：（1）统一认识，信息科技规划纳入银行业务发展战略是“自主可控”落地的先决条件。

从早期的银行柜面电子化到如今的金融科技兴起，信息科技已成为银行不可或缺的重要支撑。

自主可控建设关乎银行声誉、金融安全和社会稳定，具有重大战略意义。

中小商业银行要通过明确的战略规划，统一思想认识、引领行动，牢牢坚守稳中求进的自主创新和可控研发总基调，把狠抓自主可控作为一项长期的核心工作。

（2）切实构建自主可控机制，坚持落实战略主导思想。

信息科技自主可控内容多，环节复杂，参与人员有意识还远远不够，重要的是要通过建立合适的运行制度、工作制度，从而形成一整套的约束机制、监督机制以及评价机制。

自主需求分析、自主架构设计、自主可控研发是落实“自主可控”战略的主导思想。

在进行信息系统建设时，应通过自主的需求分析和自主的架构设计，主导项目研发的全过程管理，灵活组合外部引入的异构产品和服务，摆脱对供应商的过度依赖。

（3）掌控信息科技体系架构规划与设计是落实“自主可控”的关键。

任何一家银行都不可能自主研发所有需要的软硬件产品，自主研发与外部服务相结合的方式是务实的，也是必然的选择。

但中小商业银行应认识到掌控信息科技顶层规划和设计是落实“自主可控”的关键，如果顶层的体系架构都做不到“自主可控”，那整个信息科技的“自主可控”就无从谈起。

通过把控科技体系的整体架构规划，才能设计并建立起适合自身的架构体系。

（4）牢牢树立符合国家政策和监管要求是落实“自主可控”最基本的底线。

符合国家政策和监管要求是中小商业银行实施信息科技自主可控的前提，无论使用国内还是国外的技术，都必须以此为基础，基于自主设计的体系架构，建立适合银行业务特点的，与自身战略和业务发展阶段相匹配的信息系统体系标准、管理制度和规范体系。

二、中小商业银行信息科技“自主可控”的必要性与可能性金融是现代经济的核心，银行业作为我国金融业的主体，在维护国家金融安全中至关紧要。

39号文正是站在国家全局的层面上，看到了我国银行业信息科技建设中存在的风险隐患。

另外，从银行自身的角度，信息科技自主可控也是必须的。

商业银行和各技术供应商之间虽是一种合作共赢的关系，但双方代表不同的利益主体，都有追求自身利益最大化的需要。

如果银行不能实现自主可控，供应商可能会漫天要价，抬高银行经营的成本，更严重的是会导致银行对供应商的过度依赖，从而产生诸多风险。

中小商业银行人才匮乏、资金紧缺，虽确有必要实施自主可控科技建设，但有可能实施吗？让我们从以下两方面探讨一下。

在硬件方面，国内几乎没有自主生产硬件的银行，因此，中小商业银行必须紧跟国家政策，根据国内IT 厂商发展的成熟情况，分批、分步骤地逐步实现硬件的国产化替代。

对于必须使用国外厂商提供的硬件设备，尽量选择信誉好的供应商进行合作。

在软件方面，这是目前国内银行业自主可控最聚焦的地方，也是中小商业银行科技部门承压最大的地方。

目前，我国银行业的科技研发主要分为外包研发、自主研发和合作研发三种模式。

自主研发模式下，银行控制力强、后期运维成本低，但人力成本投入较高，且不利于新技术的引进，此模式适合大型商业银行；外包研发模式下，可以最大化节约人力成本，并可在较短时间内寻找到成熟的产品以满足紧迫的业务需求，不足之处在于过度依赖供应商；合作研发模式力图寻找到纯自主与纯外包的平衡点，银行如管理得当，完全可以做到自主可控。

针对中小商业银行的困境，综合考虑其业务发展战略、发展阶段及综合资源投入，比较适合采用合作研发模式，兼顾重点系统的自主研发。

总之，中小商业银行只要策略得当，便可以实现信息科技自主可控。

三、中小商业银行信息科技“自主可控”的主要环节及面临问题1.中小商业银行自主可控的主要环节一个完整的银行信息科技项目包括立项、开发、运维和消亡四个阶段。

自主可控的信息科技建设应是贯穿整个项目的全生命周期。

恒丰银行多年的实践表明，中小商业银行实施信息科技自主可控建设主要包括以下环节：（1）立项环节。

按照字面意思，“立项”可以简单理解为成立项目，但其背后肩负着项目的整体规划，是对项目的方向性决策。

规划的好坏直接影响项目的建设实施，中小商业银行即使资源和能力有限，立项也必须自主进行。

（2）需求分析和系统设计环节。

自主需求分析和自主架构设计是中小商业银行落实“自主可控”战略的主导思想。

通过自主需求分析，有利于主导项目研发的走向，特别是项目后期的测试管理，自主需求分析结合可控的测试方能确保开发实施的正确性。

（3）系统开发环节。

该环节必须做好技术文档的可控管理，重点监督合作方实施过程是否规范、文档是否准确齐备、质量是否合格。

行方技术人员应全程参与项目管理，识别进度及阶段性交付物，在开发建设过程中学习开发和运维等方面的技术知识，确保成果交付及知识转移的有效性。

（4）测试、投产及验收环节。

要做到信息科技项目的自主可控，重要的是要确保开发、测试、投产及验收流程的标准化。

此环节关注流程及技术文档，其中测试案例编写和投产必须自主可控，在需求自主分析的基础上，自主编写测试案例能更有效地验证项目实施的正确性；另外，投产过程也应是自主操作，一是通过实际操作能提高银行员工的技术能力，二是再次检验相关文档是否规范完备。

（5）运维及消亡处理环节。

再穷也不能穷运维，生产无小事。

自主可控的运维一方面可以确保合作方撤离后，银行能做到持续稳定的运维；另一方面有利于银行熟悉系统流程和丰富问题处理方案，储备应急反应能力。

一个系统淘汰后，在确认下线前，自主可控的要求并未结束，需要做好数据存档备份、废弃媒介彻底销毁等后方可宣布系统进入消亡状态。

2.中小商业银行自主可控面临的问题目前，中小商业银行信息科技的自主可控建设主要存在以下问题：（1）信息科技治理机制不顺畅。

多数中小银行虽然在最高管理层面成立了信息科技管理委员会，但业务和科技“两张皮”现象依然普遍存在，信息科技“重建设、轻管理、重开发、轻运维”的不平衡问题仍然比较突出。

（2）互联网金融等新兴模式的出现，对中小银行自主创新形成巨大挑战。

中小银行既要确保安全，又要努力自主创新以满足业务发展的需要，但受技术能力、财务成本和实施效率等因素的制约，很多自主技术还有待进一步改进和提升，自主可控的安全和创新还需较长时间来沉淀。

（3）自主可控标准模糊，中小商业银行落地困难。

我国银行业都在做信息科技自主可控建设，但缺少统一的标准，各家银行开展的自主可控工作有效性存在疑问。

而且，由于历史原因，多年的信息化建设几乎都是外包开发或直接外购，要梳理清楚现有信息资产耗时耗力，系统建设规划需要重新审视和评估，替换或转型需要较长时间和大量资金投入。

四、中小商业银行实现信息科技“自主可控”可采取的主要措施中小商业银行实施自主可控的建设，建议遵循“总体规划、分步实施”的原则，采取以下措施：（1）抓好顶层设计，建立健全信息科技治理机制，持续提升核心技术自主研发能力。

自主可控的关键是建立合适的信息科技治理机制，整体把控信息科技体系架构。

中小银行需要从业务发展战略的全局出发，通过管理和技术两个层面的顶层设计，实现对整体信息科技架构自上而下的自主把控，打破“拿来就用”的观念，深刻认识到自主开发、安全可控的重要性，大力培养一批既懂技术又懂业务的复合型人才，持续提升自主可控的研发能力。

（2）主动防控信息科技外包风险。

为适应市场竞争和满足客户需要，缩短产品及科技系统研发周期，适度购买外包服务成为当下中小银行必然的选择。

中小银行应当制定外包战略，建立有效的运行机制，实现外包服务及风险事前可管理、事中可监控、事后可审计。

银行员工应全程参与外包项目管理，主动防控过度依赖外包可能带来的风险。

（3）坚持内练外修两手抓，师他人之长技为我所用。

中小商业银行为实现信息科技自主可控，除了提升自主研发能力，扩大自主可控技术和产品的应用范围外，应保持与监管机构和同业的密切沟通交流，借鉴宝贵经验。

（4）树立“科技兴行”理念，大力支持科技人才队伍建设。

信息科技自主可控，科技人才最珍贵。

专业科技人才匮乏是中小银行实施自主可控的痛点，建议中小银行统筹考虑，一是整合散落在各部门的现有科技人才资源；二是招聘政策适度向科技口倾斜，薪资福利水平确保具有市场竞争力，吸引高水平科技人员；三是多措并举，建立科技专项激励机制，鼓励金融科技创新和自主研发。

五、恒丰银行为实现“自主可控”进行的探索和实践近两年，在行领导的带领下，恒丰银行在“自主可控”战略实施方面做了一些具体工作。

（1）坚持自主创新、安全可控的发展道路，积极推动打造自主知识产权技术平台，夯实信息科技基础。

为构建效率更高、体验更好、响应更迅速的新型服务模式，从2016年开始，恒丰银行大力推进金融云平台建设，以建立面向银行内部的私有云平台与面向中小金融机构的行业云平台相结合为目标，实现资源服务共享，构筑合作共赢的金融生态圈。