商业银行信息科技监管评级定量和定性标准

信息科技风险（Iｎforｍation Technｏｌogy Risk) （一)信息科技治理（１5分）1、信息科技治理组织架构(8分)(１）就是否确立董事会、高管层信息科技管理职责.(2）就是否建立完善得信息科技管理制度体系。

(３)就是否建立完善合规得信息科技“三道防线”以及信息科技三道防线得实际运作。

（4)就是否明确信息科技治理作为重要组成部分纳入公司治理.评分原则:（1）考察董事会、高管层得信息科技治理职责就是否完整，信息科技发展战略不经董事会审批,或者本年内董事会会议不形成年度信息科技工作决议得此项最高得分4分。

(2）考察就是否建立信息科技管理制度得起草、发布、修订等工作流程，信息科技管理制度就是否涵盖系统开发、项目管理、系统运行、信息安全、外包管理、业务连续性等领域。

（３）考察就是否明确信息科技管理、信息科技风险管理与信息科技风险监督得“三道防线”职责，“三道防线”部门设置就是否合规;就是否设立信息科技管理委员会，成员来自高管层、信息科技部门与主要业务部门,并定期向高管层汇报工作。

(4)考察商业银行就是否以正式制度（文件）明确信息科技治理应作为重要组成部分纳入公司治理；就是否制定了信息科技治理运作效果考核指标并定期进行评价。

２、信息科技对业务发展得专业支持与匹配度（7分）(1）信息科技战略与业务发展战略得匹配度.（2）信息科技人员、信息科技投入等与业务发展得匹配度(定量）。

(3）董事会、高管层等决策人员就是否具备足够得信息科技专业知识能力。

评分原则：（１）考察就是否建立明确、可实施得信息科技发展战略;就是否定期评价信息科技战略规划实施效果,建立信息科技战略与业务战略得协调一致机制.（2)考察信息科技人员数量、信息科技人员占比、信息科技投入占比与商业银行发展水平就是否匹配,低于同质同类商业银行平均值得此项酌情扣分；考察商业银行信息系统建设与业务发展得支撑与匹配程度。

（3）考察具有信息科技管理经验得高管人员在董事会、决策层就是否具有一定得占比；就是否设立首席信息官,直接向行长汇报,并参与重大决策，首席信息官就是否具有一定得信息科技专业背景或从业经验。

(二）信息科技风险管理（１２分)1、信息科技风险管理体系(6分)(１)就是否将信息科技风险纳入全面风险管理体系，建立完善得信息科技风险管理组织架构.(2）就是否建立信息科技风险管理策略与管理制度。

评分原则：(1)考察就是否将信息科技风险纳入全面风险管理,明确风险管理部门统一负责信息科技风险管理。

信息科技风险管理职责仍在信息科技部门得此项得分不超过3分。

(2)考察风险管理部门中就是否配备一定数量专职信息科技风险管理人员,信息科技风险管理人员就是否具备相关专业背景与技能。

（3）考察就是否建立信息科技风险管理策略与管理制度，管理制度就是否完善,覆盖就是否全面。

２、信息科技风险管理日常运作（６分)（1）信息科技风险评估流程与方法就是否完善.(２）就是否建立常态化得风险识别与监测机制.（３）信息科技风险评估结果就是否得到合理运用。

评分原则：(１）考察就是否建立信息科技风险识别、风险分析、风险处置等工作机制;信息科技风险评级与风险分析工作中就是否开展业务影响分析工作,就是否进行风险级别划分，并有风险级别划分标准.(２）就是否建立信息科技风险监测关键风险点指标,风险监测指标就是否定期评审、改进,风险监测结果就是否向有关部门及高管层报告等。

(3）就是否建立信息科技风险损失评估及处置机制。

（三）信息科技审计(10分）1、信息科技风险监督体系（4分）就是否建立信息科技审计体系,以及信息科技审计体系得合理性。

评分原则：(1）商业银行就是否将信息科技审计工作纳入内部审计部门工作范畴;商业银行内部审计制度就是否纳入信息科技审计相关内容,包括审计依据、标准与方法等内容；就是否定期开展信息科技审计活动；发生信息科技重大突发事件时，内审部门就是否介入调查；就是否对信息科技重大项目实施财务审计。

（2）考察信息科技内审工作独立性与汇报路线得合理性.2、信息科技内外部审计（６分）(1)信息科技审计覆盖率.（定量）（2)信息科技审计整改率。

(定量)(3）信息科技专项审计占比。

(定量)评分原则:（1）考察近三年信息科技审计覆盖率，包括信息科技内外审一级分支机构覆盖率及重要信息系统覆盖率.【一级分支机构覆盖率】=【已开展全面信息科技审计得一级分支机构数】／【一级分支机构总数】*10０％【重要信息系统覆盖率】=【已开展信息科技审计得数据中心、重要信息系统、重大项目数】／【数据中心、重要信息系统、重大项目总数】*100％（2）考察近两年信息科技内（外）审整改率。

【信息科技内（外)审整改率】=【信息科技内（外）审报告中发现问题已完成整改得问题数量】／【信息科技内（外）审报告中发现问题得总与】*１00％(3）考察近两年内（外）审工作中信息科技专项审计占比。

【信息科技专项审计占比】=【信息科技专项审计次数】／【全部审计次数】＊100％(四）信息安全管理(１4分)1、信息安全管理体系（8分)（1)就是否建立信息安全管理体系。

（2)信息安全管理体系得完整性。

(３)电子银行信息安全管理体系得完整性。

评分原则:（1）考察就是否建立合理得信息安全管理组织架构及制度体系.（２）考察信息安全管理体系就是否完整,安全保障措施就是否完善。

物理安全：中心机房及重点区域就是否有环境监测、巡检、报警等安全防控措施,环境监测覆盖范围就是否完备等。

网络安全：就是否制定完善得网络安全访问控制策略，就是否定期进行网络安全漏洞扫描，就是否有完备得网络边界策略等。

数据安全:就是否有重要或敏感数据得定义标准与访问控制策略，就是否制定数据备份与恢复策略,就是否有生产数据提取、使用、销毁等环节得安全防护措施。

终端安全：就是否有终端安全防控措施，桌面终端就是否安装病毒防护及防火墙软件，病毒库就是否定期更新,桌面终端移动介质使用管理,设备管理,行为审计等.访问控制:就是否建立物理与逻辑访问控制策略；中心机房等重要区域门禁系统认证方式及进出访问安全控制策略就是否合理;重要信息系统逻辑访问控制策略就是否完善，包括权限管理、密码策略等。

(3)电子银行信息安全管理体系得完整性：电子银行系统就是否定期开展渗透性测试；就是否有客户端安全防控措施;就是否有强制双因素身份认证；就是否有客户敏感信息防护措施等.２、信息安全管理执行力(6分)信息安全管理规定执行情况；当年发生得信息安全事件情况.评分原则：(１）信息安全管理组织架构就是否存在重大缺陷,信息安全管理制度就是否定期评价并修订完善；信息安全管理各项措施就是否严格落实,执行过程中就是否存在重大缺陷。

(２）当年发生得信息安全事情情况,事件发生次数可与同质同类机构平均值比较，并根据事件得负面影响程度进行酌情扣分.（五）信息系统开发及测试（１2分）1、信息科技项目管理体系（6分）就是否有完善得信息科技项目管理组织与信息系统开发测试管理制度;就是否有规范化得信息科技项目生命周期管理流程。

评分原则:(1)考察就是否建立了规范得项目管理组织、制度与流程，明确需求管理、开发管理、质量保障、问题管理、版本管理、项目后评价等职责；项目管理组织架构严重缺失得此项最高2分。

（２）考察信息科技项目生命周期管理流程就是否包括需求分析、设计、开发或外购、测试、试运行、部署、维护与退出等环节，系统开发方法就是否与信息科技项目得规模、性质与复杂度相匹配.2、项目管理过程中得风险控制(６分)(1）信息科技项目生命周期各重要环节就是否开展风险管控.(2）信息科技项目重点环节得风险管控情况。

评分原则:（１）考察信息科技风险管控就是否涵盖信息科技项目生命周期各重要环节,如需求分析阶段就是否有业务部门提出明确得风险控制要求,就是否有应急恢复目标、灾难恢复目标、数据管理目标等要求,信息科技审计人员或信息安全人员就是否参加项目阶段评审,风险管理组织就是否开展阶段风险评估等。

(2）就是否建立必要得安全隔离措施，包括生产系统与开发系统、测试系统得有效隔离，生产系统与开发系统、测试系统得管理职能相分离，应用程序开发与维护人员未经允许不可进入生产系统等.（3)考察业务部门在信息系统开发及测试各阶段得参与度。

业务部门就是否参与需求分析、测试、项目各阶段质量评审、用户验收测试、项目后评价等;已完成开发与测试环境得程序或系统配置变更应用到生产系统前就是否经业务部门批准。

(4）考察重要信息系统源代码控制率(定量）。

【重要信息系统源代码控制率】=【机构拥有全部源代码且具备后续自主维护开发能力、外部机构人员未经授权不能访问系统源代码进行功能定制扩展得重要信息系统数】/【重要信息系统总数】＊100%(六）信息科技运行及维护（１5分)1、信息科技运行及维护管理体系(8分）就是否建立信息科技运行维护管理体系。

评分原则：（１)考察就是否有规范得信息科技运行及维护管理流程，并制定详尽得信息科技运行操作说明。

（2）信息科技运行及维护管理流程就是否涵盖事件管理、问题管理、容量管理、变更管理、服务水平管理、可用性管理等。

（３）信息科技运行及维护管理体系就是否定期评价并修订完善。

2、信息科技运行维护运作（7分)信息科技运行及维护管理各流程运作就是否规范.评分原则：(1）就是否采用信息化管理平台等措施提高运行与维护管理效率,完善运行与维护管理流程。

(2）信息科技内部就是否有岗位制约机制，如信息科技运行与系统开发与维护得分离等。

（3)就是否有容量规划，重要信息系统性能与容量设置就是否恰当,性能与容量变更机制就是否合理。

（4）考察重要信息系统服务可用率（定量）.【重要信息系统服务可用率】=【计划提供服务总时间－计划停止服务时间-非计划停止服务时间】／【计划提供服务总时间】＊100％（５）考察核心业务系统交易成功率(定量)。

【核心业务系统交易成功率】＝【核心业务系统生产交易成功笔数】／【核心业务系统生产交易总笔数】＊10０% （6）考察重要信息系统监控覆盖率(定量）。

【重要信息系统监控覆盖率】＝【实施应用级监控得重要信息系统数】／【重要信息系统总数】＊100％（七）业务连续性管理(１2分）1、业务连续性管理体系(7分)（1)业务连续性管理组织架构就是否健全;(2)就是否开展业务影响分析,并制定业务连续性计划；业务连续性演练及改进情况；应急处置工作情况。

评分原则：(1）就是否建立日常业务连续性管理组织,就是否制定业务连续性管理政策与制度，业务连续性管理组织职责就是否清晰完善.(2)业务连续性管理相关参与部门设置就是否合理；业务连续性管理主管部门为信息科技部门，且业务连续性管理组织不包含主要业务部门得此项得分不超过２分。

（3)就是否完成所有重要业务影响分析,明确业务恢复优先级与恢复目标；就是否制定所有重要业务得业务连续性计划,相关资源建设就是否到位；就是否定期开展业务连续性演练,并评估改进，就是否对业务连续性管理工作进行审计;就是否有健全得信息科技突发事件应急处置机制。