XXX银行信息科技风险管理办法

信息科技风险管理办法第一章总则第一条为加强XXXXXX（以下简称本行）信息科技风险管理，根据《商业银行信息科技风险管理指引》（银监发〔2009〕19 号），以及本行信息科技工作的有关规定，制定本办法。

第二条本办法适用于本行及其所属部门、机构。

第三条本办法所称信息科技是指计算机、通信、微电子和软件工程等现代信息技术，在商业银行业务交易处理、经营管理和内部控制等方面的应用，并包括进行信息科技治理，建立完整的管理组织架构，制订完善的管理制度和流程。

第四条本办法所称信息科技风险，是指信息科技在商业银行运用过程中，由于自然因素、人为因素、技术漏洞和管理缺陷产生的操作、法律和声誉等风险。

第五条本行信息科技风险管理的目标是通过建立有效的机制，实现对商业银行信息科技风险的识别、评估、预防、监测和计量，促进商业银行安全、持续、稳健运行，推动业务创新，提高信息技术使用水平，增强核心竞争力和可持续发展能力。

第六条本行信息科技风险管理的管理原则是：专业主导、全员参与、协调统一、突出重点、预防为主、动态管理。

专业主导：以风险管理部门、信息科技管理部门为专业主导部门，对信息科技风险实施风险管理和控制。

全员参与：倡导“信息安全人人有责”的信息科技风险管理文化，涉及与信息科技相关的员工，均负有对本岗位信息科技风险管理的责任。

协调统一：即按照既定的组织职责分工，协调配合，落实信息科技风险管理的政策和策略，为信息科技风险管理目标的实现提供保障。

突出重点：即区分重点和一般，合理配置管理资源，优先确保重要业务、重要管理系统的信息科技安全。

预防为主：坚持“安全第一，预防为主”的方针，将信息科技风险控制在风险容忍度及其措施控制目标以内。

动态管理：根据信息科技资产配置情况及其风险程度的变化，跟进政策、策略和资源的调整，保证对信息科技风险管理的持续有效。

第七条本行信息科技风险的偏好和政策取向。

偏好是追求稳健。

政策取向是以可接受的措施成本将风险控制在容忍度以内。

第八条本行信息科技风险的管理文化。

（一）信息科技风险管理创造价值：要认识到信息科技风险既是损失的来源更是收益的来源，要在既定的风险容忍度之下通过承担和管理信息科技风险来实现收益，创造价值；（二）容忍文化与控制文化相结合：一方面根据业务发展和风险战略对信息科技风险有合理的容忍限度，另一方面也需要对过度的信息科技风险和与收益不匹配的信息科技风险进行严格控制；（三）自上而下推动：信息科技风险文化应由高层到基层自上而下的示范和推动；（四）以制度为基础：把信息科技管理文化建设进一步上升到制度建设的层面，进而落实到员工行为之中。

第九条将信息科技风险管理从本行操作风险管理中提取出来，作为相对独立的风险子系统实施管理。

信息科技风险管理是本行全面风险管理的有机组成部分，与本行全面风险管理总体框架、总体政策、总体偏好保持一致。

本行信息科技风险管理框架主要包括以下基本要素：（一）信息科技风险治理；（二）信息科技风险管理策略；（三）信息科技风险识别和评估；（四）信息科技风险的防范；（五）信息科技风险监测和计量；（六）信息科技风险的控制。

第十条本行依法接受银行业监督管理部门的监督指导。

第二章信息科技治理第一节信息科技法人治理第十一条信息科技治理是本行法人治理的组成部分。

本行法定代表人是本行信息科技风险管理的第一责任人，负责组织本办法的贯彻落实。

第十二条本行董事会的信息科技管理职责：（一）遵守并贯彻执行国家有关信息科技管理的法律、法规和技术标准；落实中国银行业监督管理委员会（以下简称银监会）相关监管要求；执行XXXX的信息科技政策和规定。

（二）审查批准信息科技战略，确保其与本行的总体业务战略和重大策略相一致。

评估信息科技及其风险管理工作的总体效果和效率。

（三）掌握主要的信息科技风险，确定可接受的风险级别，确保相关风险能够被识别、计量、监测和控制。

（四）规范职业道德行为和廉洁标准，增强内部文化建设，提高全体人员对信息科技风险管理重要性的认识。

（五）设立一个由来自高级管理层、信息科技部门和主要业务部门的代表组成的专门信息科技管理委员会，负责监督各项职责的落实，定期向董事会和高级管理层汇报信息科技战略规划的执行、信息科技预算和实际支出、信息科技的整体状况。

（六）在建立良好的公司治理的基础上进行信息科技治理，形成分工合理、职责明确、相互制衡、报告关系清晰的信息科技治理组织结构。

加强信息科技专业队伍的建设，建立人才激励机制。

（七）确保内部审计部门进行独立有效的信息科技风险管理审计，对审计报告进行确认并落实整改。

（八）每年审阅并向银监会及其派出机构报送信息科技风险管理的年度报告。

（九）确保信息科技风险管理工作所需资金。

（十）确保银行所有员工充分理解和遵守经其批准的信息科技风险管理制度和流程，并安排相关培训。

（十一）确保本行涉及客户信息、账务信息以及产品信息等的核心系统在中国境内独立运行，并保持最高的管理权限，符合银监会监管和实施现场检查的要求，防范跨境风险。

（十二）及时向银监会及其派出机构报告本机构发生的重大信息科技事故或突发事件，按相关预案快速响应。

（十三）配合银监会及其派出机构做好信息科技风险监督检查工作，并按照监管意见进行整改。

（十四）履行信息科技风险管理其他相关工作。

董事会应将信息科技风险管理情况作为全面风险管理的重要内容，定期向股东大会报告。

第十三条本行董事会授权董事会风险管理委员会履行董事会相关信息科技风险管理职能。

负责监督信息技术管理委员会落实信息科技风险的管控，派员列席信息技术管理委员会的重要会议，确保董事会风险管理政策得到落实。

董事会风险管理委员会应定期向董事会报告授权职责的履行情况，及时报告重大事项。

本行董事会授权高级管理层审议批准风险管理部提出的基于本办法的配套信息科技风险管理制度、计划及其措施。

第十四条本行信息科技管理委员会在研究决定信息科技工作管理事项时，应同步考虑信息科技风险的具体管控，满足董事会对风险管理的政策要求。

召开会议研究信息科技管理重要事项时，应通知监事会、风险、审计等有关负责人列席。

信息技术管理委员会应定期或不定期向董事会报告职责履行情况。

第十五条本行监事会负责监督董事会、高级管理层、信息技术管理委员会对信息科技风险的管控，并定期向股东大会报告。

第十六条本行设立首席信息官（或明确分管信息科技工作的领导），直接向行长汇报，并参与决策。

首席信息官的职责包括：（一）直接参与本行与信息科技运用有关的业务发展决策。

（二）确保信息科技战略，尤其是信息系统开发战略，符合本行的总体业务战略和信息科技风险管理策略。

（三）负责建立一个切实有效的信息科技部门，承担本行的信息科技职责，并确保其职责得到履行。

（四）确保信息科技风险管理的有效性，并使有关管理措施落实到相关的每一个内设机构和分支机构。

（五）组织专业培训，提高人才队伍的专业技能。

（六）履行信息科技风险管理其他相关工作。

第十七条本行风险管理部是本行全面风险管理的综合部门，对信息科技风险管理履行以下职责：（一）在全面风险管理框架下，拟订信息科技风险管理的基本政策、制度和流程，经高级管理层风险委员会审议通过，提请董事会批准实施。

（二）负责构建本办法第九条规定的信息科技风险管理体系，并监督、指导信息科技部门具体落实。

（三）监控重大信息安全威胁。

（四）参加信息科技突发事件应急响应小组，负责协调制定有关信息科技风险管理策略，尤其是在涉及信息安全、业务连续性计划和合规性风险等方面。

（五）对信息科技风险管理政策、制度、流程的有效性及其执行情况，每年至少进行一次检查评估，并向高级管理层、董事会风险管理委员直接报告。

第十八条本行信息科技部负责信息科技风险管理的具体实施，履行以下职责：（一）提出信息科技项目发起和管理建议；（二）开展专业化研发；（三）提出信息科技策略、标准和流程，信息科技内部控制制度；（四）信息系统和信息科技基础设施的管理、运行、维护和升级；（五）提出并实施信息安全管理、灾难恢复计划；（六）信息科技外包具体管理；（七）提出并执行信息系统退出；（八）提出信息科技预算和支出；（九）实施信息科技风险识别和评估；（十）实施信息科技风险的计量和监测；（十一）依据信息科技风险管理策略和风险评估结果，提出并实施全面的风险防范措施；（十二）提出并实施信息科技知识产权保护策略和制度；（十三）实施业务连续性管理有关工作；（十四）第九条、第十八条规定以外的其他信息科技管理、风险管理的有关工作。

信息科技部应定期或及时向高级管理层、信息科技管理委员会报告工作。

信息科技风险管理工作执行情况应抄送风险管理部。

第十九条本行人力资源部负责对信息科技部门人员配置、资质审查、内部管理职责界定审查和绩效考核工作。

（一）各岗位的人员应具有相应的专业知识和技能，重要岗位应制定详细完整的工作手册并适时更新。

对相关人员采取下列风险防范措施：1.验证个人信息，包括核验有效身份证件、学历证明、工作经历和专业资格证书等信息。

2.审核信息科技员工的道德品行，确保其具备相应的职业操守。

3.确保员工了解、遵守信息科技策略、指导原则、信息保密、授权使用信息系统、信息科技管理制度和流程等要求，并同员工签订相关协议。

4.评估关键岗位信息科技员工流失带来的风险，做好安排候补员工和岗位接替计划等防范措施；在员工岗位发生变化后及时变更相关信息。

（二）应将信息科技风险管理纳入部门职能、岗位职责，并进行绩效考核。

（三）应定期向风险管理部通报风险管理职能、职责的设定划分，履职考核、绩效考核情况。

第二十条本行审计部设立信息科技风险审计岗位，负责信息科技审计制度和流程的实施，制订和执行信息科技审计计划，对信息科技整个生命周期和重大事件等进行审计。

审计部应对信息科技风险管理的政策、制度及其执行情况进行审计评价，审计评价报告直接报送董事会、监事会，审计评价报告应抄送风险管理部、人办资源部。

第二十一条本行按照知识产权相关法律法规，制定本行信息科技知识产权保护策略和制度，并使所有员工充分理解并遵照执行。

确保购买和使用合法的软硬件产品，禁止侵权盗版；采取有效措施保护本机构自主知识产权。

第二十二条本行依据有关法律法规的要求，规范和及时披露信息科技风险状况。

第二节信息科技的联合治理第二十三条根据XXXX对本行的授权，对XXXX的信息科技管理成立管理委员会，实行联合治理。

委员会是XXXX信息科技管理的最高权力机构，执行XXXX的信息科技政策和规定。

委员会主任委员由本行董事长担任，委员由各行社董（理）长、本行首席信息官（或分管信息科技工作的领导）组成。

委员会负责研究决定XXXX有关信息科技工作的重大事项。

委员会成员负责委员会决定在本行社的贯彻落实。

下设委员会办公室，办公室设在本行信息科技部。

主任由本行首席信息官（或分管信息科技工作的领导）担任，副主任由本行风险管理部总经理、信息科技部总经理、各行社分管信息科技工作的领导组成。