ICS 35.240 L 67 SZJG 深 圳 经 济 特 区 技 术 规 范 SZJG 47-2014 金 融 机 构 信 息 技 术 外 包 风 险 管 理 规 范 2014-01 -06 发 布 2014-06-01 实 施 深 圳 市 市 场 监 督 管 理 局 发 布
目 次 目 次... I 前 言... II 引 言... III 1 范 围... 1 2 规 范 性 引 用 文 件... 1 3 术 语 和 定 义... 1 4 总 体 要 求... 2 5 管 理 组 织 与 职 责... 2 6 管 理 制 度... 3 7 评 估 与 决 策... 3 8 服 务 提 供 商 选 择... 4 9 外 包 合 同 要 求... 5 10 持 续 监 控 管 理... 6 11 跨 境 外 包... 8 12 审 计... 8 I
前 言 本 规 范 依 据 GB/T 1.1-2009 给 出 的 规 则 起 草 本 规 范 由 金 融 服 务 业 标 准 联 盟 提 出 本 规 范 由 深 圳 市 市 场 监 督 管 理 局 归 口 本 规 范 起 草 单 位 : 深 圳 市 金 融 信 息 服 务 协 会 平 安 银 行 股 份 有 限 公 司 中 国 平 安 保 险 ( 集 团 ) 股 份 有 限 公 司 本 规 范 主 要 起 草 人 : 李 绅 邹 伟 张 志 远 董 锐 韩 梅 雷 波 本 规 范 为 首 次 发 布 II
引 言 随 着 信 息 技 术 的 进 步 和 信 息 技 术 外 包 环 境 的 发 展, 外 包 逐 渐 成 为 各 金 融 机 构 对 内 提 供 信 息 技 术 服 务 的 一 种 重 要 形 式, 外 包 范 围 更 是 从 简 单 的 设 备 维 护 外 包 人 力 外 包 到 相 对 复 杂 的 灾 备 中 心 及 数 据 中 心 整 体 外 包 整 体 项 目 开 发 外 包, 再 到 全 面 的 信 息 技 术 服 务 外 包 信 息 技 术 外 包 风 险 已 是 金 融 机 构 信 息 技 术 风 险 的 重 要 组 成 部 分, 因 此 信 息 技 术 外 包 风 险 的 管 控 也 应 纳 入 金 融 机 构 风 险 管 控 之 中 为 引 导 深 圳 市 金 融 服 务 机 构 以 及 为 其 提 供 信 息 技 术 服 务 的 供 应 商 规 范 信 息 技 术 外 包 活 动, 防 范 金 融 业 信 息 技 术 外 包 风 险, 依 照 中 国 银 行 业 监 督 管 理 委 员 会 印 发 的 商 业 银 行 信 息 科 技 风 险 管 理 指 引 ( 银 监 发 [2009]19 号 ) 银 行 业 金 融 机 构 外 包 风 险 管 理 指 引 ( 银 监 发 [2010]44 号 ) 银 行 业 金 融 机 构 信 息 科 技 外 包 监 管 指 引 ( 银 监 发 [2013]5 号 ) 中 国 保 险 监 督 管 理 委 员 会 印 发 的 保 险 公 司 信 息 系 统 安 全 管 理 指 引 ( 试 行 ) ( 保 监 发 [2011]68 号 ) 中 国 证 券 监 督 管 理 委 员 会 印 发 的 证 券 期 货 业 信 息 安 全 保 障 管 理 办 法 ( 中 国 证 券 监 督 管 理 委 员 会 令 第 82 号 ) 等 有 关 监 管 规 定, 制 定 本 规 范 III
金 融 机 构 信 息 技 术 外 包 风 险 管 理 规 范 1 范 围 本 规 范 规 定 了 金 融 机 构 信 息 技 术 外 包 风 险 管 理 的 的 总 体 要 求 管 理 职 责 管 理 制 度 评 估 与 决 策 服 务 提 供 商 选 择 外 包 合 同 管 理 持 续 监 控 管 理 跨 境 外 包 与 审 计 本 规 范 适 用 于 深 圳 市 金 融 服 务 机 构 以 及 为 其 提 供 信 息 技 术 服 务 的 供 应 商 2 规 范 性 引 用 文 件 下 列 文 件 对 于 本 文 件 的 应 用 是 必 不 可 少 的 凡 是 注 日 期 的 引 用 文 件, 仅 所 注 日 期 的 版 本 适 用 于 本 文 件 凡 是 不 注 日 期 的 引 用 文 件, 其 最 新 版 本 ( 包 括 所 有 的 修 改 单 ) 适 用 于 本 文 件 GB/T 19000-2008 质 量 管 理 体 系 基 础 和 术 语 (ISO9000:2005,IDT) GB/T 19001 2008 质 量 管 理 体 系 要 求 (ISO9001:2008,IDT) GB/T 22080-2008 信 息 技 术 安 全 技 术 信 息 安 全 管 理 体 系 要 求 (ISO/IEC 27001:2005, IDT) GB/T 22081-2008 信 息 技 术 安 全 技 术 信 息 安 全 管 理 实 用 规 则 (ISO/IEC 27002:2005, IDT) SZDB/78-2013 金 融 机 构 信 息 技 术 服 务 外 包 质 量 管 理 规 范 3 术 语 和 定 义 下 列 术 语 和 定 义 适 用 于 本 规 范 3.1 金 融 机 构 信 息 技 术 外 包 金 融 机 构 将 价 值 链 中 原 本 由 自 身 提 供 的 信 息 技 术 业 务 剥 离 出 来, 委 托 给 信 息 技 术 服 务 提 供 商 来 完 成 的 经 济 活 动, 包 括 开 发 应 用 信 息 技 术 的 服 务, 以 及 以 信 息 技 术 为 手 段 支 持 金 融 机 构 业 务 活 动 的 服 务 注 : 常 见 的 外 包 服 务 形 态 有 信 息 技 术 咨 询 服 务 设 计 与 开 发 服 务 信 息 系 统 集 成 服 务 数 据 处 理 和 运 营 服 务 及 其 他 信 息 技 术 服 务 3.2 信 息 技 术 外 包 服 务 提 供 商 向 一 个 或 多 个 金 融 机 构 提 供 信 息 技 术 服 务 的 组 织, 包 括 独 立 第 三 方 金 融 机 构 母 公 司 或 其 所 属 集 团 设 立 在 中 国 境 内 外 的 子 公 司 关 联 公 司 或 附 属 机 构 注 : 为 描 述 方 便, 本 标 准 中 简 称 为 服 务 提 供 商 3.3 信 息 技 术 外 包 风 险 -- 1
在 信 息 技 术 外 包 活 动 中 因 信 息 对 称 道 德 管 理 等 方 面 的 不 确 定 性 而 对 金 融 机 构 相 关 信 息 技 术 外 包 活 动 造 成 的 战 略 声 誉 合 规 操 作 等 方 面 的 影 响 3.4 跨 境 外 包 在 境 外 其 他 国 家 或 地 区 实 施 的 信 息 技 术 外 包 活 动 4 总 体 要 求 4.1 金 融 机 构 应 根 据 内 外 部 的 环 境 和 市 场 状 况 拟 定 其 信 息 技 术 外 包 的 发 展 规 划 策 略, 明 确 信 息 技 术 外 包 的 范 围, 确 定 信 息 技 术 外 包 风 险 的 可 接 受 水 平 4.2 金 融 机 构 可 按 照 服 务 外 包 的 性 质 和 重 要 程 度 对 信 息 技 术 外 包 服 务 提 供 商 进 行 分 级 管 理, 对 不 同 级 别 的 服 务 提 供 商 采 取 差 异 化 的 管 控 措 施, 在 有 效 管 理 重 要 风 险 的 前 提 下 降 低 管 理 成 本 4.3 金 融 机 构 在 实 施 信 息 技 术 外 包 时, 不 得 将 信 息 科 技 管 理 责 任 外 包 5 管 理 组 织 与 职 责 信 息 技 术 外 包 风 险 的 管 理 组 织 架 构 包 括 董 事 会 ( 或 对 应 的 最 高 决 策 层 ) 高 级 管 理 层 信 息 科 技 外 包 管 理 团 队 及 内 部 审 计 部 门 5.1 董 事 会 ( 或 对 应 的 最 高 决 策 层 ) 的 职 责 : a) 审 议 批 准 信 息 技 术 外 包 的 战 略 发 展 规 划 ; b) 审 议 批 准 信 息 技 术 外 包 风 险 管 理 的 政 策 操 作 流 程 和 内 控 制 度 ; c) 审 议 批 准 本 机 构 的 外 包 范 围 及 相 关 安 排 ; d) 定 期 审 阅 本 机 构 外 包 活 动 的 有 关 报 告 ; e) 定 期 安 排 内 部 审 计, 确 保 审 计 范 围 涵 盖 所 有 的 外 包 安 排 5.2 高 级 管 理 层 的 职 责 高 级 管 理 层 的 职 责 主 要 包 括 以 下 方 面 : a) 制 定 信 息 技 术 外 包 战 略 发 展 规 划 ; b) 制 定 信 息 技 术 外 包 风 险 管 理 的 政 策 操 作 流 程 和 内 控 制 度 ; c) 确 定 信 息 技 术 外 包 业 务 的 范 围 及 相 关 安 排 ; d) 确 定 信 息 技 术 外 包 管 理 团 队 职 责, 并 对 其 行 为 进 行 有 效 指 导 管 理 和 监 督 5.3 管 理 团 队 职 责 信 息 技 术 外 包 管 理 团 队 通 常 包 括 来 自 信 息 技 术 外 包 需 求 信 息 技 术 管 理 信 息 技 术 风 险 管 理 及 法 律 等 部 门 或 单 位, 金 融 机 构 应 根 据 实 际 情 况 明 确 外 包 管 理 团 队 中 各 单 位 的 具 体 职 责 分 工, 外 包 管 理 团 队 职 责 主 要 包 括 以 下 方 面 : a) 执 行 外 包 风 险 管 理 的 政 策 操 作 流 程 和 内 控 制 度 ; b) 负 责 外 包 活 动 的 日 常 管 理, 包 括 外 包 需 求 分 析 尽 职 调 查 合 同 执 行 情 况 监 督 及 风 险 状 况 的 监 控 等 ; c) 向 高 级 管 理 层 提 出 有 关 外 包 活 动 发 展 和 风 险 管 控 的 意 见 和 建 议 ; d) 发 现 服 务 提 供 商 业 务 活 动 存 在 缺 陷 时, 采 取 及 时 有 效 的 措 施 ; e) 高 级 管 理 层 确 定 的 其 他 职 责 2
6 管 理 制 度 6.1 金 融 机 构 应 根 据 其 信 息 技 术 外 包 策 略 制 定 信 息 技 术 外 包 管 理 制 度 流 程, 建 立 信 息 技 术 评 估 与 决 策 服 务 商 选 择 合 同 管 理 外 包 服 务 监 控 外 包 服 务 中 断 与 终 止 管 理 的 机 制 6.2 金 融 机 构 应 定 期 对 信 息 技 术 外 包 工 作 的 实 施 成 效 进 行 全 面 评 价 和 总 结, 并 据 此 对 信 息 技 术 外 包 策 略 制 度 流 程 进 行 检 视 和 完 善, 确 保 其 有 效 性 和 可 行 性 6.3 金 融 机 构 应 建 立 全 面 的 外 包 风 险 评 估 控 制 机 制, 将 信 息 技 术 外 包 风 险 纳 入 金 融 机 构 的 风 险 管 理 体 系 进 行 全 面 管 理 信 息 技 术 外 包 风 险 的 管 理 组 织 架 构 包 括 高 级 管 理 层 信 息 技 术 外 包 管 理 团 队 及 内 部 审 计 部 门, 高 级 管 理 层 承 担 外 包 活 动 的 最 终 管 理 责 任 7 评 估 与 决 策 金 融 机 构 应 有 明 确 的 信 息 技 术 外 包 需 求 形 成 信 息 技 术 外 包 评 估 决 策 的 流 程, 并 建 立 适 当 的 信 息 技 术 外 包 项 目 风 险 评 估 程 序 标 准 以 及 对 应 的 风 险 级 别, 对 于 持 续 性 的 重 要 信 息 技 术 外 包 项 目, 金 融 机 构 应 定 期 对 其 进 行 风 险 评 估, 以 确 保 考 虑 到 信 息 技 术 外 包 项 目 的 风 险 变 化 情 况 7.1 外 包 前 调 研 在 开 展 信 息 技 术 外 包 前, 金 融 机 构 应 对 外 包 项 目 的 可 行 性 风 险 情 况 等 进 行 调 研, 并 根 据 调 研 结 果 及 收 集 到 的 信 息 进 行 评 估 确 定 相 应 的 风 险 级 别 7.2 评 估 阶 段 的 风 险 控 制 7.2.1 金 融 机 构 应 确 保 评 估 阶 段 所 发 现 的 风 险 在 实 施 外 包 前 已 得 到 妥 善 的 处 理 或 采 取 了 相 应 的 风 险 控 制 措 施 7.2.2 金 融 机 构 在 实 施 外 包 管 理 时, 应 根 据 信 息 技 术 外 包 项 目 的 风 险 级 别 及 所 涉 及 业 务 的 重 要 性 进 行 考 虑, 对 于 不 同 风 险 级 别 的 信 息 技 术 外 包 项 目, 采 取 不 同 的 风 险 规 避 及 外 包 管 理 措 施 7.2.3 金 融 机 构 信 息 技 术 外 包 相 关 决 策 人 员 应 根 据 评 估 结 果 及 相 应 风 险 级 别 对 拟 外 包 的 工 作 进 行 明 确 的 审 批, 高 级 管 理 层 应 格 外 关 注 重 要 信 息 技 术 外 包 项 目 7.3 风 险 评 估 所 要 考 虑 的 因 素 在 进 行 信 息 技 术 外 包 项 目 风 险 评 估 时, 应 考 虑 但 不 限 于 以 下 因 素 : a) 拟 外 包 工 作 的 交 易 量 以 及 对 于 金 融 机 构 的 重 要 性 关 键 性 ; b) 拟 外 包 工 作 涉 及 数 据 的 敏 感 性 及 是 否 涉 及 到 客 户 信 息 处 理 的 转 移 ; c) 潜 在 服 务 提 供 商 的 专 业 水 平 风 险 管 理 水 平 及 可 持 续 服 务 能 力 ; d) 金 融 机 构 对 于 拟 外 包 工 作 的 评 价 和 监 控 能 力 ; e) 服 务 提 供 商 未 能 按 要 求 完 成 外 包 工 作 时 对 金 融 机 构 的 财 务 声 誉 经 营 造 成 的 影 响 ; f) 外 包 服 务 意 外 中 止 时 对 于 金 融 机 构 的 影 响 以 及 可 能 的 应 急 处 理 措 施 ; g) 其 他 认 为 需 要 关 注 的 重 要 事 项 7.4 重 要 信 息 技 术 外 包 项 目 对 于 重 要 的 信 息 技 术 外 包, 金 融 机 构 应 谨 慎 处 理, 并 加 以 特 别 的 关 注 和 管 理, 重 要 信 息 技 术 外 包 包 括 但 不 限 于 以 下 项 目 : a) 信 息 技 术 工 作 整 体 外 包 ; b) 数 据 中 心 灾 备 中 心 整 体 外 包 ; -- 3
c) 涉 及 将 金 融 机 构 客 户 资 料 交 易 数 据 等 敏 感 信 息 交 由 服 务 提 供 商 进 行 分 析 或 处 理 的 信 息 技 术 外 包 ; d) 以 非 驻 场 服 务 形 式 实 施 的 涉 及 集 中 存 储 客 户 数 据 的 业 务 交 易 系 统 外 包 ; e) 信 息 安 全 审 计 ; f) 跨 境 外 包 ; g) 其 他 一 旦 外 包 服 务 意 外 终 止, 短 时 间 内 就 有 可 能 对 金 融 机 构 的 业 务 运 营 管 理 声 誉 或 者 安 全 产 生 严 重 显 著 影 响 的 外 包 安 排 ; h) 其 他 在 评 估 阶 段 被 金 融 机 构 认 为 是 高 风 险 级 别 的 信 息 技 术 外 包 项 目 ; i) 其 他 金 融 监 管 机 构 认 为 是 重 要 信 息 技 术 的 外 包 项 目 7.5 外 包 需 求 涉 及 要 素 在 建 立 信 息 技 术 外 包 需 求 时, 应 考 虑 但 不 限 于 以 下 要 素 : a) 拟 外 包 工 作 的 范 围 ; b) 外 包 服 务 水 平 的 要 求 以 及 外 包 工 作 的 标 准 ; c) 服 务 提 供 商 的 最 低 要 求 ; d) 外 包 监 控 和 报 告 要 求 ; e) 服 务 开 始 及 服 务 中 止 时 过 渡 安 排 ; f) 合 同 的 期 限 终 止 和 转 让 ; g) 赔 偿 保 险 等 合 同 责 任 条 款 方 面 的 要 求 7.6 外 包 需 求 的 形 成 在 实 施 信 息 技 术 外 包 前, 金 融 机 构 应 形 成 明 确 清 晰 正 式 的 信 息 技 术 外 包 需 求 文 档 信 息 技 术 外 包 需 求 应 由 金 融 机 构 内 与 信 息 技 术 外 包 相 关 的 各 方 参 与 形 成, 并 应 考 虑 到 风 险 评 估 阶 段 的 风 险 控 制 需 求 8 服 务 提 供 商 选 择 8.1 在 进 行 信 息 技 术 外 包 项 目 风 险 评 估 以 及 外 包 决 策 后, 金 融 机 构 应 对 待 选 的 服 务 提 供 商 进 行 适 当 的 调 查, 评 估 服 务 提 供 商 业 务 及 财 务 等 能 力 是 否 满 足 金 融 机 构 外 包 的 要 求 8.2 在 对 服 务 提 供 商 进 行 尽 职 调 查 时, 应 考 虑 但 不 限 于 以 下 因 素 : 4 a) 在 满 足 金 融 机 构 需 求 所 需 的 服 务 及 支 持 技 术 方 面 的 经 验 和 能 力 ; b) 在 金 融 机 构 拟 外 包 工 作 领 域 上 的 行 业 地 位 以 及 经 验 ; c) 经 营 声 誉 及 企 业 文 化 ; d) 其 指 派 的 为 机 构 提 供 服 务 的 主 要 岗 位 人 员 的 技 能 经 验 稳 定 性 等 情 况 ; e) 对 于 服 务 中 断 的 应 急 处 理 能 力 ; f) 在 拟 外 包 工 作 方 面 的 内 部 控 制 情 况 ; g) 在 拟 外 包 工 作 方 面 信 息 安 全 管 理 情 况 ; h) 对 金 融 行 业 的 熟 悉 程 度 ; i) 对 其 他 金 融 机 构 提 供 服 务 的 情 况 ; j) 财 务 状 况 8.3 对 于 重 要 的 信 息 技 术 外 包, 必 要 时 金 融 机 构 可 考 虑 采 取 以 下 措 施 了 解 服 务 提 供 商 如 何 运 营 及 支 持 拟 外 包 的 业 务, 调 查 其 与 外 包 业 务 相 关 的 内 部 控 制 和 信 息 安 全 管 理 能 力 : a) 指 派 内 部 人 员 开 展 现 场 调 查 ; b) 要 求 服 务 提 供 商 提 供 相 关 独 立 的 专 业 第 三 方 机 构 完 成 的 信 息 安 全 审 查 内 部 控 制 审 查 财 务 审 计 报 告 ;
c) 邀 请 独 立 的 专 业 第 三 方 机 构 对 服 务 提 供 商 就 信 息 技 术 外 包 领 域 的 相 关 情 况 进 行 调 查 8.4 对 于 服 务 提 供 商 为 金 融 机 构 的 母 公 司 或 其 所 属 集 团 设 立 在 中 国 境 内 外 的 子 公 司 关 联 公 司 或 附 属 机 构 的 关 联 外 包, 金 融 机 构 不 得 因 关 联 关 系 而 降 低 对 服 务 提 供 商 的 要 求, 应 当 在 服 务 提 供 商 选 择 阶 段 详 细 分 析 服 务 提 供 商 技 术 内 控 和 管 理 水 平, 确 认 其 有 足 够 能 力 实 施 外 包 服 务 处 理 突 发 事 件 等 8.5 对 于 持 续 性 信 息 技 术 外 包 项 目, 金 融 机 构 应 定 期 对 服 务 提 供 商 进 行 调 查, 确 保 在 服 务 期 内 服 务 提 供 商 均 能 达 到 其 要 求 9 外 包 合 同 要 求 9.1 金 融 机 构 应 建 立 正 式 的 信 息 技 术 外 包 合 同 草 拟 审 定 及 审 批 流 程, 确 保 信 息 技 术 外 包 合 同 描 述 清 晰 覆 盖 全 面 权 责 明 确, 并 经 过 正 式 的 审 定 批 准 9.2 金 融 机 构 开 展 信 息 技 术 外 包 活 动 时 应 当 与 服 务 提 供 商 签 订 书 面 合 同 或 协 议, 并 根 据 外 包 服 务 需 求 风 险 评 估 及 尽 职 调 查 结 果 确 定 其 详 细 程 度 和 重 点, 以 明 确 双 方 的 权 利 义 务, 在 签 订 合 同 或 协 议 时 应 考 虑 但 不 限 于 以 下 范 围 : a) 信 息 技 术 外 包 服 务 的 内 容 和 方 式 包 括 但 不 限 于 金 融 机 构 要 求 服 务 提 供 商 实 施 的 具 体 工 作 及 时 限, 交 付 物 要 求 配 套 服 务 要 求, 变 更 服 务 内 容 的 权 力 及 途 径 等 ; b) 绩 效 标 准 包 括 但 不 限 于 最 低 服 务 级 别 要 求 以 及 当 不 能 满 足 合 同 要 求 时 的 处 理 措 施 ; c) 信 息 技 术 外 包 服 务 的 安 全 性 及 保 密 性 的 安 排 包 括 但 不 限 于 要 求 服 务 提 供 商 按 照 必 须 知 道 和 最 小 授 权 原 则 对 相 关 人 员 授 权 与 服 务 提 供 商 签 署 保 密 协 议 或 保 密 条 款 禁 止 服 务 提 供 商 非 授 权 披 露 或 使 用 金 融 机 构 及 其 客 户 的 信 息 及 时 向 金 融 机 构 报 告 安 全 漏 洞 或 安 全 事 件 要 求 服 务 提 供 商 督 促 包 括 其 员 工 临 时 工 代 理 等 在 内 的 相 关 人 员 遵 守 保 密 规 定 等 ; d) 对 服 务 提 供 商 的 控 制 要 求 包 括 但 不 限 于 法 律 法 规 的 遵 从 要 求 监 管 制 度 的 通 报 贯 彻 机 制 对 服 务 提 供 商 内 部 控 制 的 基 本 要 求 金 融 机 构 访 问 服 务 提 供 商 工 作 记 录 的 要 求 对 服 务 提 供 商 技 术 及 管 理 上 重 要 变 动 的 通 知 及 审 批 要 求 沟 通 及 报 告 机 制 的 要 求 等 ; e) 外 包 服 务 的 审 计 和 检 查 要 求 包 括 但 不 限 于 金 融 机 构 有 权 收 到 的 审 查 报 告 的 种 类 对 服 务 提 供 商 审 计 或 检 查 的 开 展 频 率 和 方 式 对 服 务 提 供 商 日 常 外 包 服 务 工 作 检 查 的 权 力 及 方 式 金 融 机 构 及 其 监 管 机 构 开 展 相 关 审 查 及 获 得 审 查 结 果 的 权 力 和 基 本 流 程 等 ; f) 信 息 技 术 外 包 的 费 用 安 排 g) 信 息 技 术 外 包 服 务 的 报 告 要 求 ; h) 知 识 产 权 及 信 息 所 有 权 的 约 定 ; i) 外 包 服 务 的 业 务 连 续 性 安 排 ; j) 包 括 通 知 审 批 在 内 的 分 包 相 关 约 束 要 求 及 转 包 的 限 制 条 款 ; k) 合 同 的 期 限 合 同 终 止 的 条 件 以 及 合 同 终 止 或 变 更 时 的 过 渡 安 排 ; l) 争 端 的 解 决 机 制 ; m) 罚 则 及 充 分 的 赔 偿 要 求 9.3 金 融 机 构 应 在 外 包 合 同 或 协 议 中 明 确 要 求 服 务 提 供 商 承 诺 以 下 事 项 : a) 定 期 通 报 外 包 活 动 的 有 关 事 项, 及 时 通 报 外 包 活 动 的 突 发 性 事 件 ; b) 配 合 金 融 机 构 接 受 相 关 监 督 管 理 机 构 的 检 查 ; c) 及 时 根 据 金 融 机 构 要 求 以 认 可 的 方 式 改 正 及 改 进 检 查 中 发 现 的 问 题 及 不 足 ; -- 5
d) 保 障 客 户 信 息 的 安 全 性, 当 客 户 信 息 不 安 全 或 客 户 权 利 受 到 影 响 时, 金 融 机 构 有 权 随 时 终 止 外 包 合 同 ; e) 不 得 以 金 融 机 构 的 名 义 开 展 活 动 ; f) 不 得 将 外 包 服 务 转 包 或 变 相 转 包, 不 将 外 包 服 务 主 要 业 务 分 包 对 于 存 在 分 包 情 况 的, 主 服 务 提 供 商 需 对 服 务 水 平 负 总 责, 承 诺 对 分 包 商 进 行 监 控, 并 对 分 包 商 的 变 更 履 行 通 知 或 报 告 审 批 义 务, 以 确 保 分 包 服 务 提 供 商 能 够 严 格 遵 守 外 包 合 同 或 协 议 9.4 金 融 机 构 在 进 行 信 息 技 术 外 包 时 应 当 根 据 其 预 先 确 认 的 服 务 要 求 与 服 务 提 供 商 签 订 服 务 水 平 协 议, 签 订 服 务 水 平 协 议 时 应 考 虑 但 不 限 于 以 下 因 素 : a) 外 包 服 务 的 关 键 要 素 ; b) 服 务 时 效 以 及 可 用 性 ; c) 数 据 的 机 密 性 和 完 整 性 ; d) 变 更 的 控 制 ; e) 安 全 标 准 的 遵 守 情 况 ; f) 业 务 连 续 性 的 遵 守 情 况 ; g) 技 术 支 持 水 平 9.5 金 融 机 构 应 注 意 监 管 法 律 法 规 规 章 和 规 范 性 文 件 的 规 定 等 对 外 包 工 作 产 生 影 响 的 外 部 环 境 和 市 场 的 变 化 情 况, 并 视 其 必 要 性 及 时 对 外 包 合 同 及 相 关 协 议 进 行 调 整 10 持 续 监 控 管 理 金 融 机 构 应 建 立 适 当 的 信 息 技 术 外 包 监 控 程 序, 以 确 保 金 融 机 构 能 够 了 解 到 外 包 相 关 的 风 险 变 化 情 况 并 确 保 服 务 提 供 商 按 照 合 同 要 求 提 供 相 符 合 的 信 息 技 术 服 务 10.1 外 包 监 控 程 序 内 容 在 建 立 信 息 技 术 外 包 监 控 程 序 时, 金 融 机 构 可 考 虑 但 不 限 于 以 下 因 素 : a) 服 务 水 平 协 议 的 有 关 要 求 ; b) 合 同 中 的 一 些 关 键 要 素 ; c) 外 包 监 控 开 展 的 方 式 和 频 率 ; d) 监 控 结 果 的 报 告 流 程 ; e) 出 现 问 题 时 的 升 级 流 程 ; f) 实 施 外 包 监 控 时 与 服 务 提 供 商 的 争 议 解 决 程 序 ; g) 跟 踪 服 务 提 供 商 对 外 包 服 务 进 行 改 进 的 措 施 ; h) 服 务 终 止 程 序 10.2 外 包 监 控 管 理 10.2.1 信 息 技 术 外 包 的 监 控 可 根 据 所 外 包 服 务 的 重 要 性 复 杂 性 和 风 险 情 况 有 所 不 同, 但 金 融 机 构 应 确 保 外 包 监 控 覆 盖 了 信 息 技 术 外 包 合 同 中 的 一 些 关 键 要 素, 对 于 重 要 的 信 息 技 术 外 包 项 目, 金 融 机 构 应 格 外 关 注, 并 采 取 更 严 格 的 监 控 措 施 10.2.2 金 融 机 构 应 根 据 外 包 需 求 外 包 合 同 服 务 水 平 协 议 等 建 立 明 确 的 信 息 技 术 外 包 服 务 质 量 监 控 指 标, 监 控 指 标 根 据 所 外 包 的 服 务 内 容 的 不 同 而 有 所 差 异, 但 应 通 过 这 些 监 控 指 标 能 够 监 控 到 服 务 提 供 商 外 包 服 务 的 情 况, 以 下 是 一 些 常 见 的 服 务 监 控 指 标 : a) 信 息 系 统 或 设 备 及 基 础 设 施 的 可 用 率 设 备 的 开 机 率 ; b) 故 障 次 数 故 障 解 决 率 故 障 响 应 时 间 ; 6
c) 服 务 的 次 数 服 务 的 客 户 满 意 度 ; d) 业 务 需 求 的 及 时 完 成 率 程 序 的 缺 陷 数 ; e) 外 包 服 务 的 总 人 时 外 包 人 员 的 考 核 质 量 外 包 人 员 的 离 职 率 10.2.3 金 融 机 构 应 对 服 务 提 供 商 的 财 务 状 况 进 行 监 控, 监 控 的 形 式 以 及 水 平 可 根 据 信 息 技 术 外 包 项 目 的 重 要 程 度 及 风 险 级 别 有 所 不 同, 但 应 能 够 了 解 到 服 务 提 供 商 财 务 状 况 的 严 重 下 降 以 及 恶 化 的 情 况, 并 根 据 其 严 重 程 度 采 取 相 应 的 措 施, 以 避 免 重 要 的 信 息 技 术 外 包 项 目 因 服 务 提 供 商 破 产 兼 并 关 键 人 员 流 失 投 入 不 足 等 而 意 外 中 断 或 服 务 质 量 急 剧 下 降 10.2.4 金 融 机 构 应 采 取 措 施 对 服 务 提 供 商 的 分 包 或 转 包 情 况 进 行 持 续 的 监 控, 应 要 求 服 务 提 供 商 就 信 息 技 术 外 包 工 作 中 存 在 的 分 包 或 转 包 实 施 情 况 进 行 定 期 报 告 对 于 重 要 的 信 息 技 术 外 包 项 目, 必 要 时, 金 融 机 构 应 根 据 事 先 约 定 的 外 包 合 同 要 求 对 服 务 提 供 商 的 相 关 分 包 或 者 转 包 行 为 进 行 审 批 和 监 控 10.2.5 金 融 机 构 应 对 相 关 服 务 提 供 商 就 其 所 提 供 外 包 服 务 领 域 的 信 息 安 全 及 内 部 控 制 情 况 进 行 检 查 或 审 计, 确 保 其 符 合 机 构 在 安 全 性 及 保 密 性 上 的 要 求 根 据 信 息 技 术 外 包 项 目 的 重 要 程 度 及 风 险 情 况, 检 查 或 审 计 工 作 可 选 择 但 不 限 于 以 下 形 式 : a) 要 求 服 务 提 供 商 定 期 向 金 融 机 构 就 外 包 工 作 相 关 的 信 息 安 全 及 内 控 情 况 做 出 报 告, 并 要 求 其 承 诺 对 报 告 的 真 实 性 负 责 ; b) 要 求 服 务 提 供 商 指 派 符 合 资 质 的 内 部 人 员 开 展 相 关 审 查 工 作, 并 及 时 向 金 融 机 构 提 供 有 关 报 告 采 取 这 一 形 式 时, 金 融 机 构 关 注 服 务 提 供 商 内 部 审 查 人 员 的 技 术 水 平 专 业 经 验 履 职 能 力 及 审 查 的 独 立 性 ; c) 要 求 服 务 提 供 商 邀 请 专 业 第 三 方 机 构 开 展 相 关 审 查 工 作, 并 及 时 向 金 融 机 构 提 供 有 关 报 告 ; d) 金 融 机 构 指 派 内 部 专 业 人 员 或 邀 请 外 部 专 业 第 三 方 对 服 务 提 供 商 就 信 息 技 术 外 包 相 关 领 域 的 信 息 安 全 及 内 部 控 制 情 况 进 行 审 查 10.2.6 对 于 关 联 外 包, 金 融 机 构 最 高 决 策 层 应 当 推 动 母 公 司 或 所 属 集 团 将 外 包 服 务 质 量 纳 入 对 服 务 提 供 商 的 业 绩 评 价 范 围, 建 立 外 包 服 务 重 大 事 件 问 责 机 制 同 时, 应 要 求 服 务 提 供 商 在 其 内 部 建 立 与 外 包 服 务 水 平 相 关 的 绩 效 考 核 10.3 外 包 监 控 问 题 的 处 理 10.3.1 金 融 机 构 应 建 立 适 当 的 机 制 确 保 能 够 与 服 务 提 供 商 就 外 包 监 控 中 发 现 的 问 题 进 行 讨 论 升 级 及 处 理, 对 于 信 息 技 术 外 包 监 控 中 发 现 的 问 题, 金 融 机 构 应 根 据 问 题 对 外 包 服 务 的 影 响 采 取 必 要 措 施, 以 确 保 其 得 到 适 当 的 处 理 10.3.2 金 融 机 构 对 于 信 息 技 术 外 包 监 控 中 发 现 的 问 题, 应 采 取 措 施 通 常 包 括 但 不 限 于 : a) 与 服 务 提 供 商 进 行 定 期 的 沟 通, 就 问 题 进 行 讨 论, 协 助 及 督 促 服 务 提 供 商 进 行 问 题 整 改 ; b) 视 问 题 的 重 大 程 度, 根 据 有 关 监 管 要 求 向 监 管 部 门 进 行 报 告 ; c) 根 据 问 题 的 性 质 依 据 预 案 启 动 外 包 应 急 处 理 措 施 ; d) 根 据 合 同 规 定 实 施 罚 则 ; e) 根 据 合 同 规 定 终 止 外 包 服 务, 并 做 好 过 渡 期 的 安 排 10.4 外 包 的 中 断 与 终 止 10.4.1 为 降 低 外 包 突 发 事 件 的 可 能 性 及 影 响, 对 于 会 对 业 务 连 续 性 管 理 造 成 重 大 影 响 的 外 包 服 务, 金 融 机 构 应 事 先 建 立 风 险 控 制 缓 释 或 转 移 措 施, 包 括 但 不 限 于 以 下 内 容 : -- 7
a) 在 外 包 服 务 实 施 的 过 程 中 持 续 收 集 服 务 提 供 商 相 关 信 息, 尽 早 发 现 可 能 导 致 服 务 中 断 的 情 况 ; b) 与 服 务 提 供 商 事 先 约 定 在 意 外 情 况 下 购 买 其 外 包 服 务 资 源 的 优 先 权 ; c) 要 求 服 务 提 供 商 制 定 服 务 中 断 相 关 的 应 急 处 理 预 案, 如 提 供 备 份 人 员 ; d) 对 于 涉 及 重 要 的 业 务 的 外 包 服 务, 金 融 机 构 需 考 虑 预 先 在 其 内 部 配 置 相 应 的 人 力 资 源, 掌 握 必 要 的 技 能, 以 在 外 包 服 务 中 断 期 间 自 行 维 持 最 低 限 度 的 服 务 能 力 10.4.2 金 融 机 构 应 针 对 重 要 外 包 服 务 中 断 的 场 景, 拟 定 相 应 的 应 急 计 划, 应 急 计 划 应 考 虑 的 因 素 包 括 但 不 限 于 以 下 内 容 : a) 事 件 场 景, 如 重 要 人 员 流 失 导 致 服 务 无 法 持 续, 服 务 提 供 商 主 动 退 出, 因 资 质 变 更 被 收 购 兼 并 或 破 产 等 原 因 导 致 的 服 务 提 供 商 被 动 退 出 等 ; b) 事 件 持 续 时 间 和 恢 复 可 能 性 ; c) 事 件 影 响 范 围 和 可 能 的 应 急 措 施 ; d) 服 务 提 供 商 自 行 恢 复 服 务 的 可 能 性 和 时 间 ; e) 备 选 的 服 务 提 供 商 以 及 外 包 服 务 迁 移 方 案 ; f) 外 包 服 务 过 渡 给 金 融 机 构 自 行 运 作 的 可 能 性 时 效 及 资 源 需 求 10.4.3 对 于 会 对 金 融 机 构 重 要 业 务 连 续 运 行 带 来 影 响 的 重 要 信 息 技 术 外 包, 金 融 机 构 应 有 针 对 性 的 完 善 业 务 连 续 性 管 理 计 划, 包 括 但 不 限 于 : a) 识 别 出 重 要 业 务 所 涉 及 的 服 务 提 供 商 和 资 源 ; b) 通 过 合 同 协 议 等 形 式 明 确 要 求 服 务 提 供 商 提 前 准 备 并 维 护 好 相 关 资 源 ; c) 对 服 务 提 供 商 业 务 连 续 性 管 理 进 行 监 控, 并 评 价 其 管 理 水 平 ; d) 在 进 行 业 务 连 续 性 计 划 演 练 时 将 相 关 的 服 务 提 供 商 纳 入 演 练 范 围 10.4.4 在 服 务 提 供 商 无 法 满 足 外 包 服 务 要 求 或 引 发 重 大 事 件 时, 金 融 机 构 应 当 在 充 分 评 估 退 出 影 响 及 制 定 退 出 计 划 的 前 提 下, 考 虑 主 动 要 求 外 包 服 务 提 供 商 终 止 服 务 11 跨 境 外 包 11.1 跨 境 外 包 除 具 有 本 指 引 前 述 风 险 外, 还 包 括 由 于 某 一 国 家 或 地 区 经 济 政 治 社 会 变 化 及 事 件 而 产 生 的 国 别 风 险, 及 由 于 外 包 实 施 场 地 远 离 金 融 机 构 而 产 生 的 非 驻 场 风 险, 金 融 机 构 应 采 取 措 施 控 制 由 于 跨 境 外 包 而 发 生 的 额 外 风 险 11.2 金 融 机 构 应 当 充 分 了 解 并 持 续 监 控 服 务 提 供 商 所 在 国 家 或 地 区 状 况, 通 过 建 立 业 务 连 续 性 计 划 防 范 跨 境 外 包 所 带 来 的 国 别 风 险 11.3 金 融 机 构 应 关 注 国 外 监 管 法 律 法 规 和 监 管 要 求 对 其 获 取 服 务 提 供 商 外 包 管 理 信 息 可 能 造 成 的 影 响 实 施 跨 境 外 包 应 以 不 妨 碍 金 融 机 构 有 效 履 行 外 包 服 务 监 控 管 理 职 能 及 监 管 机 构 延 伸 检 查 为 前 提 11.4 金 融 机 构 在 选 择 跨 境 外 包 时, 还 应 充 分 审 查 评 估 服 务 提 供 商 保 护 客 户 信 息 的 能 力, 并 将 其 作 为 选 择 服 务 提 供 商 的 重 要 指 标 涉 及 客 户 信 息 的 跨 境 外 包, 应 当 在 符 合 监 管 法 律 法 规 规 章 和 规 范 性 文 件 的 规 定 并 获 得 客 户 授 权 的 前 提 下 开 展 11.5 金 融 机 构 在 实 施 跨 境 外 包 时, 其 合 同 应 包 括 法 律 选 择 和 司 法 管 辖 权 的 约 定, 明 确 争 议 解 决 时 所 适 用 的 法 律 及 司 法 管 辖 权, 原 则 上 应 当 要 求 服 务 提 供 商 依 照 中 国 的 法 律 解 决 纠 纷 12 审 计 12.1 金 融 机 构 内 部 审 计 部 门 应 将 信 息 技 术 外 包 纳 入 信 息 技 术 审 计 的 范 围 内, 并 配 备 足 够 的 资 源 和 具 有 专 业 能 力 的 审 计 人 员 开 展 信 息 技 术 外 包 审 计 工 作 8
12.2 金 融 机 构 内 部 审 计 部 门 应 根 据 信 息 技 术 外 包 的 性 质 规 模 及 复 杂 度 对 信 息 技 术 外 包 的 管 理 制 度 及 流 程 的 适 当 性 有 效 性 及 执 行 情 况 进 行 审 计 和 评 价 12.3 对 于 重 大 的 外 包 项 目, 金 融 机 构 内 部 审 计 部 门 应 进 行 专 项 审 计, 审 计 范 围 包 括 但 不 限 于 外 包 的 评 估 及 决 策 过 程 外 包 合 同 外 包 服 务 的 监 控 管 理 服 务 提 供 商 的 履 约 情 况 等 12.4 金 融 机 构 内 部 审 计 部 门 应 对 外 包 管 理 相 关 部 门 的 履 职 情 况 进 行 审 计, 推 进 金 融 机 构 各 职 能 部 门 加 强 信 息 技 术 外 包 的 风 险 管 理 工 作, 降 低 重 大 外 包 项 目 的 风 险 12.5 金 融 机 构 可 以 在 符 合 监 管 法 律 法 规 规 章 和 规 范 性 文 件 的 规 定 的 情 况 下, 委 托 具 备 相 应 资 质 的 外 部 审 计 机 构 进 行 信 息 技 术 外 包 管 理 的 外 部 审 计 -- 9