银行业金融机构信息系统风险管理指引

银行业金融机构信息系统风险管理指引（精选6篇）

银行业金融机构信息系统风险管理指引 第1篇

【发布单位】中国银行业监督管理委员会 【发布文号】

【发布日期】2006-11-01 【生效日期】2006-11-01 【失效日期】 【所属类别】政策参考

【文件来源】中国银行业监督管理委员会

银行业金融机构信息系统风险管理指引

第一章 总 则

第一条第一条 为有效防范银行业金融机构运用信息系统进行业务处理、经营管理和内部控制过程中产生的风险，促进我国银行业安全、持续、稳健运行，根据《 中华人民共和国银行业监督管理法》、国家信息安全相关要求和信息系统管理的有关法律法规，制定本指引。

第二条第二条 本指引适用于银行业金融机构。

本指引所称银行业金融机构，是指在中华人民共和国境内设立的商业银行、城市信用合作社、农村合作银行、农村信用合作社等吸收公众存款的金融机构以及政策性银行。

在中华人民共和国境内设立的金融资产管理公司、信托投资公司、财务公司、金融租赁公司、汽车金融公司以及经中国银行业监督管理委员会（以下简称银监会）及其派出机构批准设立的其他金融机构，适用本指引规定。

第三条第三条 本指引所称信息系统，是指银行业金融机构运用现代信息、通信技术集成的处理业务、经营管理和内部控制的系统。

第四条第四条 本指引所称信息系统风险，是指信息系统在规划、研发、建设、运行、维护、监控及退出过程中由于技术和管理缺陷产生的操作、法律和声誉等风险。

第五条第五条 信息系统风险管理的目标是通过建立有效的机制，实现对信息系统风险的识别、计量、评价、预警和控制，推动银行业金融机构业务创新，提高信息化水平，增强核心竞争力和可持续发展能力。

第二章 机构职责

第六条第六条 银行业金融机构应建立有效的信息系统风险管理架构，完善内部组织结构和工作机制，防范和控制信息系统风险。

第七条第七条 银行业金融机构应认真履行下列信息系统管理职责：

（一）贯彻执行国家有关信息系统管理的法律、法规和技术标准，落实银监会相关监管要求；

（二）建立有效的信息安全保障体系和内部控制规程，明确信息系统风险管理岗位责任制度，并监督落实；

（三）负责组织对本机构信息系统风险进行检查、评估、分析，及时向本机构专门委员会和银监会及其派出机构报送相关的管理信息；

（四）及时向银监会及其派出机构报告本机构发生的重大信息系统事故或突发事件，并按有关预案快速响应；

（五）每年经董事会或其他决策机构审查后向银监会及其派出机构报送信息系统风险管理的报告；

（六）做好本机构信息系统审计工作；

（七）配合银监会及其派出机构做好信息系统风险监督检查工作，并按照监管意见进行整改；

（八）组织本机构信息系统从业人员进行信息系统有关的业务、技术和安全培训；

（九）开展与信息系统风险管理相关的其他工作。

第八条第八条 银行业金融机构的董事会或其他决策机构负责信息系统的战略规划、重大项目和风险监督管理；信息科技管理委员会、风险管理委员会或其他负责风险监督的专业委员会应制定信息系统总体策略，统筹信息系统项目建设，定期评估、报告本机构信息系统风险状况，为决策层提供建议，采取相应的风险控制措施。

第九条第九条 银行业金融机构法定代表人或主要负责人是本机构信息系统风险管理责任人。

第十条第十条 银行业金融机构应设立信息科技部门，统一负责本机构信息系统的规划、研发、建设、运行、维护和监控，提供日常科技服务和运行技术支持；建立或明确专门信息系统风险管理部门，建立、健全信息系统风险管理规章、制度，并协助业务部门及信息科技部门严格执行，提供相关的监管信息；设立审计部门或专门审计岗位，建立健全信息系统风险审计制度，配备适量的合格人员进行信息系统风险审计。

第十一条第十一条 银行业金融机构从事与信息系统相关工作的人员应符合以下要求：

（一）具备良好的职业道德，掌握履行信息系统相关岗位职责所需的专业知识和技能；

（二）未经岗前培训或培训不合格者不得上岗；经考核不适宜的工作人员，应及时进行调整。

第十二条第十二条 银行业金融机构应加强信息系统风险管理的专业队伍建设，建立人才激励机制，适应信息技术的发展。

第十三条第十三条 银行业金融机构应依据有关法律法规及时和规范地披露信息系统风险状况。

第三章 总体风险控制

第十四条第十四条 总体风险是指信息系统在策略、制度、机房、软件、硬件、网络、数据、文档等方面影响全局或共有的风险。

第十五条第十五条 银行业金融机构应根据信息系统总体规划，制定明确、持续的风险管理策略，按照信息系统的敏感程度对各个集成要素进行分析和评估，并实施有效控制。

第十六条第十六条 银行业金融机构应采取措施防范自然灾害、运行环境变化等产生的安全威胁，防止各类突发事故和恶意攻击。

第十七条第十七条 银行业金融机构应建立健全信息系统相关的规章制度、技术规范、操作规程等；明确与信息系统相关人员的职责权限，建立制约机制，实行最小授权。

第十八条第十八条 在境外设立的我国银行业金融机构或在境内设立的境外银行业金融机构，应防范由于境内外信息系统监管制度差异等造成的跨境风险。

第十九条第十九条 银行业金融机构应严格执行国家信息安全相关标准，参照有关国际准则，积极推进信息安全标准化，实行信息安全等级保护。

第二十条第二十条 银行业金融机构应加强对信息系统的评估和测试，及时进行修补和更新，以保证信息系统的安全性、完整性。

第二十一条第二十一条 银行业金融机构信息系统数据中心机房应符合国家有关计算机场地、环境、供配电等技术标准。全国性数据中心至少应达到国家A类机房标准，省域数据中心至少应达到国家B类机房标准，省域以下数据中心至少应达到C类机房标准。数据中心机房应实行严格的门禁管理措施，未经授权不得进入。

第二十二条第二十二条 银行业金融机构应重视知识产权保护，使用正版软件，加强软件版本管理，优先使用具有中国自主知识产权的软、硬件产品；积极研发具有自主知识产权的信息系统和相关金融产品，并采取有效措施保护本机构信息化成果。

第二十三条第二十三条 银行业金融机构与信息系统相关的电子设备的选型、购置、登记、保养、维修、报废等应严格执行相关规程，选用的设备应经过技术论证，测试性能应符合国家有关标准。信息系统所用的服务器等关键设备应具有较高的可靠性、充足的容量和一定的容错特性，并配置适当的备品备件。

第二十四条第二十四条 信息系统的网络应参照相关的标准和规范设计、建设；网络设备应兼备技术先进性和产品成熟性；网络设备和线路应有冗余备份；严格线路租用合同管理，按照业务和交易流量要求保证传输带宽；建立完善的网管中心，监测和管理通信线路及网络设备，保障网络安全稳定运行。

第二十五条第二十五条 银行业金融机构应加强网络安全管理。生产网络与开发测试网络、业务网络与办公网络、内部网络与外部网络应实施隔离；加强无线网、互联网接入边界控制；使用内容过滤、身份认证、防火墙、病毒防范、入侵检测、漏洞扫描、数据加密等技术手段，有效降低外部攻击、信息泄漏等风险。

第二十六条第二十六条 银行业金融机构应加强信息系统加密机、密钥、密码、加解密程序等安全要素的管理，使用符合国家安全标准的密码设备，完善安全要素生成、领取、使用、修改、保管和销毁等环节管理制度。密钥、密码应定期更改。

第二十七条第二十七条 银行业金融机构应加强数据采集、存贮、传输、使用、备份、恢复、抽检、清理、销毁等环节的有效管理，不得脱离系统采集加工、传输、存取数据；优化系统和数据库安全设置，严格按授权使用系统和数据库，采用适当的数据加密技术以保护敏感数据的传输和存取，保证数据的完整性、保密性。

第二十八条第二十八条 银行业金融机构应对信息系统配置参数实施严格的安全与保密管理，防止非法生成、变更、泄漏、丢失与破坏。根据敏感程度和用途，确定存取权限、方式和授权使用范围，严格审批和登记手续。

第二十九条第二十九条 银行业金融机构应制定信息系统应急预案，并定期演练、评审和修订。省域以下数据中心至少实现数据备份异地保存，省域数据中心至少实现异地数据实时备份，全国性数据中心实现异地灾备。

第三十条第三十条 银行业金融机构应加强对技术文档资料和重要数据的备份管理；技术文档资料和重要数据应保留副本并异地存放，按规定年限保存，调用时应严格授权。信息系统的技术文档资料包括：系统环境说明文件、源程序以及系统研发、运行、维护过程中形成的各类技术资料。重要数据包括：交易数据、账务数据、客户数据，以及产生的报表数据等。

第三十一条第三十一条 银行业金融机构在信息系统可能影响客户服务时，应以适当方式告知客户。

第四章 研发风险控制

第三十二条第三十二条 研发风险是指信息系统在研发过程中组织、规划、需求、分析、设计、编程、测试和投产等环节产生的风险。

第三十三条第三十三条 银行业金融机构信息系统研发前应成立项目工作小组，重大项目还应成立项目领导小组，并指定负责人。项目领导小组负责项目的组织、协调、检查、监督工作。项目工作小组由业务人员、技术人员和管理人员组成，具体负责整个项目的开发工作。

第三十四条第三十四条 项目工作小组人员应具备与项目要求相适应的业务经验与专业技术知识，小组负责人需具备组织领导能力,保证信息系统研发质量和进度。

第三十五条第三十五条 银行业金融机构业务部门根据本机构业务发展战略，在充分进行市场调查、产品效益分析的基础上制定信息系统研发项目可行性报告。

第三十六条第三十六条 银行业金融机构业务部门编写项目需求说明书，提出风险控制要求，信息科技部门根据项目需求编制项目功能说明书。

第三十七条第三十七条 银行业金融机构信息科技部门依据项目功能说明书分别编写项目总体技术框架、项目设计说明书，设计和编码应符合项目功能说明书的要求。

第三十八条第三十八条 银行业金融机构应建立独立的测试环境，以保证测试的完整性和准确性。测试至少应包括功能测试、安全性测试、压力测试、验收测试、适应性测试。测试不得直接使用生产数据。

第三十九条第三十九条 银行业金融机构信息科技部门应根据测试结果修补系统的功能和缺陷，提高系统的整体质量。

第四十条第四十条 银行业金融机构业务人员、技术人员应根据职责范围分别编写操作说明书、技术应急方案、业务连续性计划、投产计划、应急回退计划，并进行演练。

第四十一条第四十一条 开发过程中所涉及的各种文档资料应经相关部门、人员的签字确认并归档保存。

第四十二条第四十二条 项目验收应出具由相关负责人签字的项目验收报告，验收不合格不得投产使用。

第五章 运行维护风险控制

第四十三条第四十三条 运行维护风险是指信息系统在运行与维护过程中操作管理、变更管理、机房管理和事件管理等环节产生的风险。

第四十四条第四十四条 银行业金融机构信息系统运行与维护应实行职责分离，运行人员应实行专职，不得由其他人员兼任。运行人员应按操作规程巡检和操作。维护人员应按授权和维护规程要求对生产状态的软硬件、数据进行维护，除应急外，其他维护应在非工作时间进行。

第四十五条第四十五条 银行业金融机构信息系统的运行应符合以下要求：

（一）制定详细的运行值班操作表，包括规定巡检时间，操作范围、内容、办法、命令以及负责人员等信息；

（二）提供常见和简便的操作菜单或命令，如信息系统的启动或停止、运行日志的查询等；

（三）提供机房环境、设备使用、网络运行、系统运行等监控信息；

（四）记录运行值班过程中所有现象、操作过程等信息。

第四十六条第四十六条 银行业金融机构信息系统的维护应符合以下要求：

（一）除对信息系统设备和系统环境的维护外，对软件或数据的维护必须通过特定的应用程序进行，添加、删除和修改数据应通过柜员终端，不得对数据库进行直接操作；

（二）具备各种详细的日志信息，包括交易日志和审计日志等，以便维护和审计；

（三）提供维护的统计和报表打印功能。

第四十七条第四十七条 银行业金融机构信息系统的变更应符合以下要求：

（一）制订严密的变更处理流程，明确变更控制中各岗位的职责，并遵循流程实施控制和管理；变更前应明确应急和回退方案，无授权不得进行变更操作；

（二）根据变更需求、变更方案、变更内容核实清单等相关文档审核变更的正确性、安全性和合法性；

（三）应采用软件工具精确判断变更的真实位置和内容，形成变更内容核实清单，实现真实、有效、全面的检验；

（四）软件版本变更后应保留初始版本和所有历史版本，保留所有历史的变更内容核实清单。

第四十八条第四十八条 银行业金融机构在信息系统投产后一定时期内，应组织对系统的后评价，并根据评价及时对系统功能进行调整和优化。

第四十九条第四十九条 银行业金融机构应对机房环境设施实行日常巡检，明确信息系统及机房环境设施出现故障时的应急处理流程和预案，有实时交易服务的数据中心应实行24小时值班。

第五十条第五十条 银行业金融机构应实行事件报告制度，发生信息系统造成重大经济、声誉损失和重大影响事件，应即时上报并处理，必要时启动应急处理预案。

第六章 外包风险控制

第五十一条第五十一条 外包风险是指银行业金融机构将信息系统的规划、研发、建设、运行、维护、监控等委托给业务合作伙伴或外部技术供应商时形成的风险。

第五十二条第五十二条 银行业金融机构在进行信息系统外包时，应根据风险控制和实际需要，合理确定外包的原则和范围，认真分析和评估外包存在的潜在风险，建立健全有关规章制度，制定相应的风险防范措施。

第五十三条第五十三条 银行业金融机构应建立健全外包承包方评估机制，充分审查、评估承包方的经营状况、财务实力、诚信历史、安全资质、技术服务能力和实际风险控制与责任承担水平，并进行必要的尽职调查。评估工作可委托经国家相应监管部门认定资质，具有相关专业经验的独立机构完成。

第五十四条第五十四条 银行业金融机构应当与承包方签订书面合同，明确双方的权利、义务，并规定承包方在安全、保密、知识产权方面的义务和责任。

第五十五条第五十五条 银行业金融机构应充分认识外包服务对信息系统风险控制的直接和间接影响，并将其纳入总体安全策略和风险控制之中。

第五十六条第五十六条 银行业金融机构应建立完整的信息系统外包风险评估与监测程序，审慎管理外包产生的风险，提高本机构对外包管理的能力。

第五十七条第五十七条 银行业金融机构的信息系统外包风险管理应当符合风险管理标准和策略，并应建立针对外包风险的应急计划。

第五十八条第五十八条 银行业金融机构应与外包承包方建立有效的联络、沟通和信息交流机制，并制定在意外情况下能够实现承包方的顺利变更，保证外包服务不间断的应急预案。

第五十九条第五十九条 银行业金融机构将敏感的信息系统，以及其他涉及国家秘密、商业秘密和客户隐私数据的管理与传递等内容进行外包时，应遵守国家有关法律法规，符合银监会的有关规定，经过董事会或其他决策机构批准，并在实施外包前报银监会及其派出机构和法律法规规定需要报告的机构备案。

第七章 审 计

第六十条第六十条 银行业金融机构内设审计部门负责本机构信息系统审计，也可聘请经国家相应监管部门认定资质的中介机构进行信息系统外部审计。

第六十一条第六十一条 信息系统风险审计应包括：总体风险审计、系统审阅和专项风险审计。

第六十二条第六十二条 总体风险审计是指对本机构所有信息系统共有的公共部分进行审计，实施总体风险控制。根据信息系统的总体风险状况确定审计频率，但至少每3年审计一次。

第六十三条第六十三条 信息系统的系统审阅是指对研发、运行及退出的全过程进行审计，分投产前与投产后的审阅。

第六十四条第六十四条 投产前的系统审阅是指审计人员采用非现场形式，对信息项目开发过程中所提交的有关文档资料进行审阅，指出其中存在的风险，了解是否具有相应的控制措施，并提出评价和建议的过程。信息系统投产前的系统审阅应关注信息系统的安全控制、权限设置、正确性、连贯性、完整性、可审计性和及时性等内容。

投产前的系统审阅重点：

（一）被外界成功攻破的可能性；

（二）在内部安全控制方面的设计漏洞与缺陷；

（三）项目开发管理方面的问题；

（四）效率与效能；

（五）功能、设计和工作流程是否符合法律、法规和内部控制方面的规定并有连续兼容性；

（六）其他需重点审阅的内容。

第六十五条第六十五条 投产前的系统审阅文档资料包括：

（一）项目可行性报告；

（二）项目需求说明书；

（三）项目功能说明书（包括业务与技术方面存在的风险及控制办法）；

（四）项目总体技术框架；

（五）项目设计说明书；

（六）项目实施计划；

（七）与第三方签订的外包协议；

（八）测试计划及验收报告；

（九）投产计划；

（十）项目开发例会的会议记录；

（十一）操作手册；

（十二）其他需审阅的文档资料。

对于所含内容较多的文档资料，应对关键交易的数据处理流程、交易接口和其他重要的安全事项进行审阅。

第六十六条第六十六条 投产后的系统审阅是指在信息系统投入生产一段时间后进行的审计，旨在评估对信息系统各项风险的控制是否恰当，能否实现预定的设计目标。投产后的系统审阅应在信息系统投入生产半年后进行，审计报告应对被审计的信息系统提出改进或增加风险控制、能否继续生产等内容的审计建议。

第六十七条第六十七条 信息系统专项风险审计是指对被审计单位发生信息安全事故进行的调查、分析和评估，或原有信息系统进行重大结构调整的审计，或审计部门认为需要对信息系统某项专题进行审计。

第六十八条第六十八条 银行业金融机构信息系统风险审计也可以由银监会及其派出机构依据法律、法规和规章，委托并授权有法定资质的中介评估机构进行。

第六十九条第六十九条 中介机构根据银监会或其派出机构委托或授权对银行业金融机构进行审计时，应出示委托授权书，并依照委托授权书上规定的委托和授权范围进行审计。

第七十条第七十条 中介机构根据授权出具的审计报告经银监会及其派出机构审阅确定后具有法律效力，被审计金融机构应对该审计报告在法定时间内提出整改意见，并按审计报告中提出的建议进行及时整改。

第七十一条第七十一条 中介机构应严格执行法律法规，保守被审计单位的商业秘密和风险信息。审计过程中所有涉及资料的调阅应有交接手续，并不得带离现场或进行修改、复制。

第八章 附 则

第七十二条第七十二条 本指引由中国银行业监督管理委员会负责解释、修订。

第七十三条第七十三条 本指引自颁布之日起施行。

本内容来源于政府官方网站，如需引用，请以正式文件为准。

银行业金融机构信息系统风险管理指引 第2篇

各证券经营机构：

为进一步落实《证券经营机构营业部信息系统技术管理规范(试行)》(证监信字〔〕2号，以下简称《规范》)，提高行业信息系统安全管理水平，有效防范和化解技术风险，现将《〈证券经营机构营业部信息系统技术管理规范(试行)〉技术指引》(以下简称《指引》)印发给你们，并就有关事宜通知如下：

一、要在认真组织学习《规范》的基础上，全面了解和贯彻《指引》的要求，做到有效防范技术风险，提高安全水平。

二、要根据《规范》及《指引》的`要求，找出差距和不足，采取有效措施加以改进。

三、中国证监会将组织对《规范》及《指引》落实情况的检查。对不符合要求的单位，将根据《关于证券经营机构及其营业部做好信息系统检查工作有关事宜的通知》(证监信息字〔〕7号)和《关于强化证券经营机构总部对所属营业部信息系统安全检查的通知》(证监信息字〔1999〕11号)等文件的规定，严肃处理。

《证券经营机构营业部信息系统技术管理规范(试行)技术指引》

第一章管理体系技术指引

第一节组织结构

一、电脑中心负责制定的与信息系统相关的规章制度(〔2.1.2(1)〕)至少应包括如下方面：

1.组织机构与人员管理;

2.安全管理(包括病毒防范);

3.文档资料管理;

4.数据管理;

5.硬件设备管理(包括相关设备强制更换);

6.软件管理;

7.网络管理;

8.机房管理;

9.运行维护管理(包括操作安全管理);

10.技术事故防范与处理。

电脑中心还应编制涵盖上述制度内容的工作手册，并根据实际情况每年进行修订。

二、电脑中心审核营业部电脑负责人的任职资格(〔2.1.2(4)〕)

银行业金融机构信息系统风险管理指引 第3篇

一、《指引》的主要内容及变化

《指引》要求银行业金融机构树立稳健绩效观念, 完善绩效考评制度体系, 建立健全绩效考评管理机制、传导机制和综合应用机制, 充分发挥对稳健经营和科学发展的引导作用。主要表现为:

1、《指引》对绩效考评原则进行了规定, 明确了绩效考评办法制定的指导思想。

绩效考评的原则包括稳健经营、合规引领、战略导向、综合平衡、统一执行五个方面。其中有两点值得关注:第一, 要求在合规引领原则中绩效考评应当体现监管要求;第二, 要求在综合平衡原则中银行业金融机构应当统筹业务发展与风险防控, 全面客观的实施绩效考评。

2、《指引》强调合规经营和风险管理的重要性。

《指引》将银行业金融机构绩效考评指标细分为合规经营类指标、风险管理类指标、经营效益类指标、发展转型类指标、社会责任类指标五大项。特别要求在考评指标设置中合规经营类指标和风险管理类指标权重应当明显高于其他类指标, 同时要求绩效考评等级结果与外部检查和案件防控挂钩。

3、《指引》对绩效考评指标进行了禁止性说明。

在考评指标设置分解时, 明确禁止设立时点性规模考评指标, 禁止设定没有具体目标值、单纯以市场份额或市场排名为要求的考评指标。同时强调在设置考评指标、确定考评标准和分解考评指标时应符合审慎经营和与自身能力相适应的原则。

4、《指引》第一次提出银行业绩效考评要体现监管要求。

银监会对银行业金融机构绩效考评和实施情况进行监督管理, 并对绩效考评不合规的情况进行现场检查, 对违反指引要求的相关问题予以查处。银行业金融机构需在年初将绩效考评制度报送银监会或派出机构, 年度间有调整的, 要将调整情况及时报送。在年终绩效考评工作结束后10个工作日内将结果报送银监会或派出机构。

5、《指引》针对绩效考评机制做了详细的规定。

明确了银行业金融机构绩效考评的组织流程, 强调加强绩效考评结果的应用管理, 建立科学合理的绩效考评结果挂钩机制, 要求内部审计和监察部门应对绩效考评实施情况进行检查, 并对出现的问题严肃问责。

6、《指引》在对银行业金融机构绩效考评进行系统性说明的同时, 也强调了绩效考评和银监会其他相关规定的结合。

例如, 《指引》第九条“对于以贷转存、以贷收费和转嫁成本等不规范经营的考评对象, 应当调低发展转型类指标的考评得分”规定, 是对银监会“六不准”规定的进一步强调。

二、《指引》的要求与银行业现行绩效考评的差异

《指引》对绩效考评原则、考评指标、考核机制、监督管理等内容均提出了严格的要求, 而银行业现行绩效考评办法与《指引》的规定间存在着一些差异, 其差异主要表现在以下几方面:

1、目前银行业普遍绩效考评指标权重设置与《指引》

规定存在差异, 合规经营类指标和风险管理类指标权重偏低。笔者对工商银行、建设银行和中国银行三家银行的绩效考评办法进行了分析, 通过对绩效考评指标的分类统计可以发现:“风险管理类指标”权重分别为10%至20%左右, “合规经营类指标”权重为0 (见表1) 。这与《指引》中第十一条“在考评指标设置中合规经营类指标和风险管理类指标权重应当明显高于其他类指标”的要求相矛盾。

2、银行业现行的绩效考核办法中, 单纯以市场份额或市场排名为主要考核指标的做法, 与《指引》要求不符。

近几年来, 各商业银行对于自己的市场地位十分看重, 以份额论英雄的情况十分普遍, 因此市场占比指标在同业中广为应用。通过分析各商业行绩效考评办法可以发现, 绩效考评始终以市场占比指标为主要内容, 且已经从2007年的单指标市场占比考核发展到2011年的以存款、贷款、中间业务收入等多指标市场占比为主体的绩效考评。这与《指引》中第十二条“不得设定没有具体目标值、单纯以市场份额或市场排名为要求的考评指标”不符。这项规定对银行业金融机构现行考评办法的影响是非常明显的。

3、银行业金融机构绩效考评淡化经营计划的做法与《指引》“以年度经营计划为主要依据”的要求存在差异。

分析各家银行绩效考评办法可以看出, 年度经营计划虽然仍旧是普遍采用的考评依据, 但却呈现出比重逐年降低的趋势而市场占有率指标比重却逐年上升, 可见银行业金融机构在绩效考评中已经逐步淡化经营计划考核指标, 这与《指引》中第十七条“绩效考评应当以年度经营计划为主要依据, 设定明确、可行的目标值”相违背。

4、监管部门为遏制银行业的时点冲动, 在《指引》中明确规定不得设立时点性规模考评指标。

长期以来, 在银行业金融机构的绩效考核中, 常常以时点指标为主, 这就造成了经营机构的时点冲动:例如, 每到月末、季末, 银行存款规模出现激增。时点指标的考核机制, 人为地放大了银行体系、以及信贷、货币市场的波动。“为控制银行的时点冲动银监会还曾推出了日均存贷比指标, 即从原来只针对月末、季末等时点考核, 调整为监测银行月末以及日均的存贷比情况。”对已经习惯以考核时点指标为主的金融机构来说, 这一规定执行起来难度较大。笔者认为, 要想通过《指引》完全改变时点性规模考评的现象, 说易行难, 尚需要不断的探索和努力。

5、各银行绩效考评办法中指标大类与《指引》存在差异。

《指引》规定, 银行业金融机构绩效考评指标应包括五大类:合规经营类指标、风险管理类指标、经营效益类指标、发展转型类指标、社会责任类指标。目前各家银行绩效考评指标还存在部分大类指标空白情况, 如绩效考评指标中未设置“合规经营类”和“社会责任类”指标。

三、《指引》施行后相关工作的建议

随着《指引》的出台, 如何制定既能实现快速、平稳增长又能满足监管部门要求的绩效考评方案, 是当前各家银行面临的重要问题, 在此有以下几点建议希望得到关注:

1、完善绩效考评建设, 推动绩效管理水平的提升。

《指引》的出台, 对银行业金融机构绩效考评建设工作提出了更高的要求。笔者认为绩效考评办法应该在绩效考评指标、考评周期、绩效考评主体、考评结果应用以及绩效沟通等方面有明确的规定, 并处理好绩效考评与工作分析、绩效考评与薪酬体系、绩效考评与考评主体的选拔和培训开发、绩效考评与外部监管之间的关系。绩效考评是绩效管理工作的核心环节, 一个行之有效的绩效考评体系有助于企业绩效管理水平的整体提升。

2、转变经营理念, 建立以合规经营和风险管理为主体的绩效考核体系。

《指引》的施行对银行业金融机构业已形成的绩效考评体系带来极大的冲击, 需要根据《指引》相关要求, 转变经营理念和管理方式, 确定平稳的发展战略和经营计划, 逐步建立以合规经营类指标和风险管理类指标为主体的绩效考评体系。绩效考评中逐渐丰富社会责任类和发展转型类指标, 选取指标时要应充分考虑业务指标与风险系数、风险参数的结合, 重点关注操作风险、信用风险及流动风险等风险类指标, 充分考虑资产期限及风险延期暴露等因素。

3、以年度经营计划为主要依据, 设定明确可行的目标值, 采取计划推动竞争的考评策略。

银行业绩效考评经历了从最初的以年度计划为主要依据到近几年普遍以市场占比为主体的考核模式发展过程。而此时银监会下发的《指引》中对“绩效考评应当以年度经营计划为主要依据”的要求, 将使银行业金融机构面临着如何制定绩效考评办法的三岔路口, 是回到过去的计划模式, 还是探索新思路, 如何能既发挥好绩效考评的引导作用, 又满足监管的要求将成为今后一段时间内绩效考评方案制定者思考的主要问题。笔者认为目前可以采用计划推动竞争的绩效策略, 突出以计划为主题, 指标设定时要充分考虑竞争的目的。

4、充分利用绩效考评工具, 促进长、短期协调发展。

依据《监管指引》的相应精神, 银行业金融机构绩效考评应当以发展战略为导向, 实现内涵式发展、均衡性发展方式。充分利用先进的绩效考评工具, 如平衡计分卡、360°绩效评估法等, 设计一个全面的框架, 实现把公司的愿景和战略转变为一套连贯的业绩指标, 如加入新产品开发、业务流程再造等指标, 赋予适当的分值, 以保证企业能够得到持续的发展。

5、加强绩效考评理论研究, 继续完善绩效考评体系。

绩效考评是一项动态的系统性工作, 要不断随着经济形势、政策法规、业务发展的变化而变化, 加强绩效考评理论体系的研究有助于绩效考评科学性、实用性的提升, 目前的绩效考评体系还需要进一步的丰富和完善, 有一些问题还需绩效考评制定者不断地深入研究, 比如:非经营部门的KPI指标的设置;如何指导二级行对下设置指标;层级考核与条线考核如何妥善协调;如何通过绩效评价体系的设计来支持内部业务流程和管理流程的优化;如何保证绩效评价数据质量。

摘要：鉴于我国银行业金融机构现行的绩效考评机制尚不够科学、合理, 且在一定程度上存在不规范经营和无序竞争的现象, 银监会于2012年6月份下发了《银行业金融机构绩效考评监管指引》, 这是银监会第一次对银行业金融机构绩效考评工作中的一些做法做出限制性的规定及说明。本文通过对银监会“绩效考评办法指引”的内容及变化进行总结, 并将“指引”与现行银行业金融机构绩效考评办法进行对比分析, 提出了制定符合监管要求的银行业金融机构绩效考评办法的意见和建议。

关键词：绩效考评,银行业金融机构

参考文献

[1]胥雪刚, 庞晶.对国有大型商业银行绩效考核体系改革的研究.吉林金融研究.2011, 8[1]胥雪刚, 庞晶.对国有大型商业银行绩效考核体系改革的研究.吉林金融研究.2011, 8

银行业金融机构信息系统风险管理指引 第4篇

一是加强组织领导。成立以行长张海山同志为组长、副行长李国强、秦广军、行長助理梁向民同志为副组长,人力资源部、内审部、综合办公室等部门人员参加的专项工作领导小组,办公室设在人力资源部,具体负责全行开展行为准则执行情况的检查督导工作。各支行也成立了相应的领导组织,明确工作职责,确保此项工作有序开展。同时,根据《银行业金融机构从业人员职业操守指引》及《银行业从业人员职业操守》,重新修订完善了《九台农村商业银行员工行为规范》,以规范员工职业行为,提高员工整体素质和职业道德水准。要求各支行把《银行业金融机构从业人员职业操守指引》作为一项政治学习内容,每月要有学习笔记和心得体会。组织全体干部员工对《指引》的相关知识进行了测试,平均成绩87.9分。

二是深入学习领会文件精神。为切实将此项工作落到实处,执行不走样,九台农商行分别召开了机关全体会议和支行长会议,对银监部门和省市联社下发的有关文件进行了系统学习并印发基层,做到学懂弄通,深刻领会精神实质,对开展此项工作的重要意义形成共识。然后对照检查,找出差距和不足,在全行形成一种良好的学习、整改氛围。

银行业金融机构全面风险管理指引 第5篇

为进一步引导银行业金融机构树立全面风险管理意识，完善全面风险管理体系，持续提高风险管理水平，中国银监会起草了《银行业金融机构全面风险管理指引（征求意见稿）》，现向社会公开征求意见。公众可以通过以下途径反馈意见：

一、通过电子邮件。

二、通过传真。

三、通过信函方式将意见寄至：北京市西城区金融大街甲15号中国银监会审慎规制局（邮编：100140），并请在信封上注明“全面风险管理征求意见”字样。

意见反馈截止时间为2016年8月6日。[1]

中国银监会

2016年7月6日

银行业金融机构全面风险管理指引[1]（征求意见稿）

第一章 总则

第一条（立法依据）为提高银行业金融机构全面风险管理水平，促进银行体系安全稳健运行，根据《中华人民共和国银行业监督管理法》、《中华人民共和国商业银行法》等法律法规，制定本指引。

第二条（适用范围）本指引适用于在中华人民共和国境内依法设立的银行业金融机构。本指引所称银行业金融机构，是指在中华人民共和国境内设立的商业银行、城市信用合作社、农村信用合作社等吸收公众存款的金融机构以及开发性金融机构、政策性银行。

第三条（总体要求-管理内容）银行业金融机构应当建立全面风险管理体系，采取定性和定量相结合的方法，识别、计量、评估、监测、报告、控制或缓释所承担的各类风险。

各类风险包括信用风险、市场风险、流动性风险、操作风险、国别风险、银行账户利率风险、声誉风险、战略风险、信息科技风险以及其他风险。

银行业金融机构的全面风险管理体系应当考虑风险之间的关联性，审慎评估各类风险之间的相互影响，防范跨境、跨业风险。

第四条（总体要求-管理原则）银行业金融机构全面风险管理应当遵循以下基本原则：

（一）匹配性原则。全面风险管理体系应当与风险状况和系统重要性等相适应，并根据环境变化予以调整。

（二）全覆盖原则。全面风险管理应当覆盖各项业务条线，本外币、表内外、境内外业务；覆盖所有分支机构、附属机构，部门、岗位和人员；覆盖所有风险种类和不同风险之间的相互影响；贯穿决策、执行和监督全部管理环节。

（三）独立性原则。银行业金融机构应当建立独立的全面风险管理组织架构，赋予风险管理条线足够的授权、人力资源及其他资源配置，建立科学合理的报告渠道，与业务条线之间形成相互制衡的运行机制。

（四）有效性原则。银行业金融机构应当将全面风险管理的结果应用于经营管理，根据风险状况、市场和宏观经济情况评估资本和流动性的充足性，有效抵御所承担的总体风险和各类风险。第五条（全面风险管理要素）银行业金融机构全面风险管理体系应当包括但不限于以下要素：

（一）风险治理架构；

（二）风险管理策略、风险偏好和风险限额；

（三）风险管理政策和程序；

（四）管理信息系统和数据质量控制机制；

（五）内部控制和审计体系。

第六条（风险文化）银行业金融机构应当在全行层面推行稳健的风险文化，形成与本行相适应的风险管理理念、价值准则、职业操守，建立培训、传达和监督机制，推动全行人员理解和执行。

第七条（责任主体）银行业金融机构应当承担全面风险管理的主体责任，建立全面风险管理制度，保障制度执行，对全面风险管理体系自我评估，健全自我约束机制。

第八条（监督管理）银行业监督管理机构依法对银行业金融机构全面风险管理实施监管。

第九条（披露要求）银行业金融机构应当按照银行业监督管理机构的规定，向公众披露全面风险管理情况。

第二章 风险治理架构

第十条（总体要求）银行业金融机构应当建立组织架构健全、职责边界清晰的风险治理架构，明确董事会、监事会、高级管理层，业务部门、风险管理部门和内审部门在风险管理中的职责分工，建立多层次、相互衔接、有效制衡的运行机制。

第十一条（董事会职责）银行业金融机构董事会承担全面风险管理的最终责任，履行以下职责：

（一）建立风险文化；

（二）制定风险管理策略；

（三）设定的风险偏好和风险限额；

（四）审批风险管理政策和程序；

（五）监督高级管理层开展全面风险管理；

（六）审议全面风险管理报告；

（七）审批全面风险和各类重要风险的信息披露；

（八）聘任风险总监（首席风险官）或其他高级管理人员，牵头负责全面风险管理；

（九）其他与风险管理有关的职责。

董事会可以授权其下设的风险管理委员会履行其全面风险管理的部分职责。第十二条（委员会间的沟通机制）银行业金融机构应当建立风险管理委员会与董事会下设的战略委员会、审计委员会、提名委员会等其他专门委员会的沟通机制，确保信息充分共享并能够支持风险管理相关决策。

第十三条（监事会职责）银行业金融机构监事会承担全面风险管理的监督责任，负责监督检查董事会和高级管理层在风险管理方面的履职尽责情况并督促整改。相关监督检查情况应当纳入监事会工作报告。第十四条（高级管理层职责）银行业金融机构高级管理层承担全面风险管理的实施责任，执行董事会的决议，应当履行以下职责：

（一）建立适应全面风险管理的经营管理架构，明确全面风险管理职能部门、业务部门以及其他部门在风险管理中的职责分工，建立部门之间有效制衡、相互协调的运行机制；

（二）制定清晰的执行和问责机制，确保风险偏好、风险管理策略和风险限额得到充分传达和有效实施；

（三）对董事会设定的风险限额进行细化并执行，包括但不限于行业、区域、客户、产品等维度；

（四）制定风险管理政策和程序，定期评估，必要时调整；

（五）评估全面风险和各类重要风险管理状况并向董事会报告；

（六）建立完备的管理信息系统和数据质量控制机制；

（七）对突破风险偏好、风险限额以及违反风险管理政策和程序的情况进行监督，根据董事会的授权进行处理；

（八）风险管理的其他职责。

第十五条（风险总监或独立高管）规模较大或业务复杂的银行业金融机构应当设立风险总监（首席风险官）。董事会应当将风险总监（首席风险官）纳入高级管理人员。风险总监（首席风险官）或其他牵头负责全面风险管理的高级管理人员应当保持充分的独立性，不得分管业务经营条线，可以直接向董事会报告全面风险管理情况。

调整风险总监（首席风险官）的，应当事先得到董事会批准，并公开披露。银行业金融机构应当向银行业监督管理机构报告风险总监（首席风险官）的调整原因。

第十六条（全面风险管理的职责分工）银行业金融机构应当确定业务条线承担风险管理的直接责任；风险管理条线承担制定政策和流程，日常监测和管理风险的责任；内审部门承担业务部门和风险管理部门履责情况的审计责任。

第十七条（全面风险管理职能部门职责）银行业金融机构应当设立或者指定部门负责全面风险管理，牵头履行全面风险的日常管理，包括但不限于以下职责：

（一）实施全面风险管理体系建设，牵头协调各类具体风险管理部门；

（二）识别、计量、评估、监测、控制或缓释全面风险和各类重要风险，及时向高级管理人员报告；

（三）持续监控风险偏好、风险管理策略、风险限额及风险管理政策和程序的执行情况，对突破风险偏好、风险限额以及违反风险管理政策和程序的情况及时预警、报告并提出处理建议。

（四）组织开展风险评估，及时发现风险隐患和管理漏洞，持续提高风险管理的有效性。

第十八条（分支机构要求）银行业金融机构应当采取必要措施，保证全面风险管理的政策流程在基层分支机构得到理解与执行，建立与基层分支机构风险状况相匹配的风险管理架构。

在境外设有机构的银行业金融机构应当建立适当的境外风险管理框架、政策和流程。第十九条（资源保障）银行业金融机构应当赋予全面风险管理职能部门和各类风险管理部门充足的资源、独立性、授权，保证其能够及时获得风险管理所需的数据和信息，满足履行风险管理职责的需要。

第三章 风险管理策略、风险偏好和风险限额

第二十条（风险管理策略）银行业金融机构应当制定清晰的风险管理策略，至少每年评估其有效性。风险管理策略应当反映风险偏好、风险状况以及市场和宏观经济变化，并在银行内部得到充分传导。

第二十一条（风险偏好总体要求）银行业金融机构应当制定书面的风险偏好，定性指标和定量指标并重。风险偏好的设定应当与战略目标、经营计划、资本规划、绩效考评和薪酬机制衔接，在全行传达并执行。

银行业金融机构应当每年对风险偏好至少进行一次评估。

第二十二条（风险偏好内容）银行业金融机构制定的风险偏好，应当包括但不限于以下内容：

（一）战略目标和经营计划的制定依据，风险偏好与战略目标、经营计划的关联性；

（二）为实现战略目标和经营计划愿意承担的风险总量；

（三）愿意承担的各类风险的最大水平；

（四）风险偏好的定量指标，包括利润、风险、资本、流动性以及其他相关指标的目标值或目标区间。上述定量指标通过风险限额、经营计划、绩效考评等方式传导至业务条线、分支机构、附属机构的安排；

（五）对不能定量的风险偏好的定性描述，包括承担此类风险的原因、采取的管理措施；

（六）资本、流动性抵御总体风险和各类风险的水平；

（七）可能导致风险偏好目标的情形和处置方法。

风险偏好应当明确董事会、高级管理层和首席风险官、业务条线、风险部门和审计部门在制定和实施风险偏好过程中的职责。

第二十三条（风险偏好执行报告）银行业金融机构应当建立监测分析各业务条线、分支机构、附属机构执行风险偏好的机制。

当风险偏好目标被突破时，应当及时分析原因、制定解决方案并实施。

第二十四条（风险偏好调整）银行业金融机构应当建立风险偏好的调整制度。根据业务规模、复杂程度、风险状况的变化，对风险偏好进行调整。

第二十五条（风险限额管理）银行业金融机构应当制定风险限额管理的政策和程序，建立风险限额设定、限额调整、超限额报告和处理制度。

银行业金融机构应当根据风险偏好，按照客户、行业、区域、产品等维度设定风险限额。风险限额应当综合考虑资本、风险集中度、流动性、交易目的等。

全面风险管理职能部门应当对风险限额进行监控，并向董事会和高级管理层报送风险限额使用情况。

第四章 风险管理政策和程序 第二十六条（风险管理政策和程序）银行业金融机构应当制定风险管理政策和程序，包括但不限于以下内容：

（一）全面风险管理的方法，包括各类风险的识别、计量、评估、监测、报告、控制或缓释，风险加总的方法和程序；

（二）风险定性管理和定量管理的方法；

（三）风险管理报告；

（四）压力测试安排；

（五）新产品、重大业务和机构变更的风险评估；

（六）资本和流动性充足情况评估；

（七）应急计划和恢复计划。

第二十七条（风险的识别、计量、评估、监测、报告和控制或缓释）银行业金融机构应当在集团和法人层面对各附属机构、分支机构、业务条线，对表内和表外、境内和境外、本币和外币业务涉及的各类风险，进行识别、计量、评估、监测、报告、控制或缓释。

银行业金融机构应当制定每项业务对应的风险管理政策和程序。未制定的，不得开展该项业务。

银行业金融机构应当有效评估和管理各类风险。对能够量化的风险，应当通过风险计量技术，加强对相关风险的计量、控制、缓释；对难以量化的风险，应当建立风险识别、评估、控制和报告机制，确保相关风险得到有效管理。

第二十八条（政策和程序的一致性）银行业金融机构应当建立风险统一集中管理的制度，确保全面风险管理对各类风险管理的统领性，各类风险管理与全面风险管理政策和程序的一致性。

第二十九条（风险加总的方法和程序）银行业金融机构应当建立风险加总的政策、程序，选取合理可行的加总方法，充分考虑集中度风险及风险之间的相互影响和相互传染，确保在不同层次上和总体上及时识别风险。

第三十条（内部模型）银行业金融机构采用内部模型计量风险的，应当遵守相关监管要求，确保风险计量的一致性、客观性和准确性。董事会和高级管理层应当理解模型结果的局限性、不确定性和模型使用的固有风险。

第三十一条（风险管理报告）银行业金融机构应当建立全面风险管理报告制度，明确报告的内容、频率、路线。

报告内容至少包括总体风险和各类风险的整体状况；风险管理策略、风险偏好和风险限额的执行情况；风险在行业、地区、客户、产品等维度的分布；资本和流动性抵御风险的水平。

第三十二条（压力测试安排）银行业金融机构应当建立压力测试体系，明确压力测试的治理结构、政策文档、方法流程、情景设计、保障支持、验证评估以及压力测试结果运用。

银行业金融机构应当定期开展压力测试。压力测试的开展应当覆盖各类风险和表内外主要业务领域，并考虑各类风险之间的相互影响。

压力测试结果应当运用于银行业金融机构的风险管理和各项经营管理决策中。第三十三条（新产品、重大业务和机构变更的风险评估）银行业金融机构应当建立专门的政策和流程，评估开发新产品或对现有产品进行重大改动、拓展新的业务领域、设立新机构、从事重大收购和投资等可能带来的风险，并建立内部审批流程和退出安排。银行业金融机构开展上述活动时，应当经风险管理部门审查同意，并经董事会或董事会指定的专门委员会批准。

第三十四条（资本和流动性充足情况评估）银行业金融机构应当根据风险偏好和风险状况及时评估资本和流动性的充足情况，确保资本、流动性能够抵御风险。

第三十五条（应急计划）银行业金融机构应当制定应急计划，确保能够及时应对和处理紧急或危机情况。应急计划应当说明可能出现的风险以及在压力情况（包括会严重威胁银行生存能力的压力情景）下应当采取的措施。银行业金融机构的应急计划应当涵盖对境外分支机构和附属机构的应急安排。银行业金融机构应当定期更新、演练或测试上述计划，确保其充分性和可行性。

第三十六条（恢复计划）银行业金融机构应当按照相关监管规定的要求，根据银行的风险状况和系统重要性，制定并定期更新完善本机构的恢复计划，明确本机构在压力情况下能够继续提供持续稳定运营的各项关键性金融服务并恢复正常运营的行动方案。

第三十七条（附属机构）银行业金融机构应当制定覆盖其附属机构的风险管理政策和程序，保持机构风险管理的一致性、有效性。银行业金融机构应当要求并确保各附属机构在整体风险偏好和风险管理政策框架下，建立自身的风险管理组织架构、政策流程，促进全面风险管理的一致性和有效性。

银行业金融机构应当建立健全防火墙制度，规范内部交易，防止风险传染。第三十八条（外包风险管理）银行业金融机构应当制定外包风险管理制度，确定与其风险管理水平相适应的外包活动范围。

第三十九条（风险管理应用）银行业金融机构应当将风险偏好、风险管理策略、风险限额、风险管理政策和程序等要素与资本管理、业务管理相结合，在战略和经营计划制定、新产品审批、内部定价、绩效考评和薪酬政策等日常经营管理中充分应用并得到有效实施。

第四十条（文档管理）银行业金融机构应当对风险偏好、风险管理策略、风险限额、风险管理政策和程序建立规范的文档记录。

第五章 管理信息系统和数据质量

第四十一条（风险管理信息系统）银行业金融机构应当具备完善的风险管理信息系统，能够在集团和法人层面计量、评估、展示、报告、加总所有风险类别、产品和交易对手风险暴露的规模和构成。

第四十二条（系统功能）银行业金融机构相关风险管理信息系统应当具备以下主要功能，支持风险报告和管理决策的需要。

（一）支持识别、计量、评估、监测和报告所有类别的重要风险；

（二）支持风险限额管理，对超出风险限额的情况进行实时监测、预警和控制；

（三）能够计量、评估和报告所有风险类别、产品和交易对手的风险状况，满足全面风险管理需要。

（四）支持按照业务条线、机构、资产类型、行业、地区、集中度等多个维度展示和报告风险暴露情况；

（五）支持不同频率的定期报告和压力情况下的数据加工和风险加总需求；

（六）支持压力测试工作，评估各种不利情景对全行及主要业务条线的影响； 第四十三条（信息科技基础设施）银行业金融机构应当建立与业务规模、风险状况等相匹配的信息科技基础设施。

第四十四条（数据质量）银行业金融机构应当建立健全数据质量控制机制，积累真实、准确、连续、完整的内部和外部数据，用于风险识别、计量、评估、监测、报告，资本和流动性充足情况的评估。

第六章 内部控制和审计

第四十五条（内控要求）银行业金融机构应当合理确定各项业务活动和管理活动的风险控制点，采取适当的控制措施，执行标准统一的业务流程和管理流程，确保规范运作。

第四十六条（内审要求）银行业金融机构应当将全面风险管理纳入内部审计范畴，定期审查和评价全面风险管理的充分性和有效性。

银行业金融机构内部审计活动应独立于业务经营、风险管理和合规管理，遵循独立性、客观性原则，不断提升内部审计人员的专业能力和职业操守。

全面风险管理的内部审计报告应当直接提交董事会和监事会。董事会应当针对内部审计发现的问题，督促高级管理层及时采取整改措施。内部审计部门应当跟踪检查整改措施的实施情况，并及时向董事会提交有关报告。

第七章 监督管理

第四十七条（报备及报告要求）银行业金融机构应当将风险管理策略、风险偏好、风险限额、风险管理政策和程序等报送银行业监督管理机构，并至少按报送全面风险管理报告。

第四十八条（监管内容）银行业监督管理机构应当将银行业金融机构全面风险管理纳入法人监管体系中，并根据本指引全面评估银行业金融机构风险管理体系的健全性和有效性，提出监管意见，督促银行业金融机构持续加以完善。

第四十九条（监管方式）银行业监督管理机构通过非现场监管和现场检查等实施对银行业金融机构全面风险管理的持续监管，具体方式包括但不限于监管评级、风险提示、现场检查、监管通报、监管会谈、与内外部审计师会谈等。

第五十条（监管沟通）银行业监督管理机构应当就全面风险管理情况与银行业金融机构董事会、监事会、高级管理层等进行充分沟通，并视情况在银行董事会、监事会会议上通报。

第五十一条（监管措施）对不能满足本指引及其他关于全面风险管理要求的银行业金融机构，银行业监督管理机构可以要求其制定整改方案，责令限期改正，并视情况采取相应的监管措施。

第八章 附则

第五十二条（与具体风险监管要求的关系）各类具体风险的监管要求按照银行业监督管理机构的有关规制执行。第五十三条（参照执行）经银行业监督管理机构批准设立的其他金融机构参照本指引执行。

第五十四条（施行时间）本指引自2016年 月 日起施行。本指引实施前发布的有关规范性文件如与本指引不一致的，按照本指引执行。[1]

解读一

为提升银行业金融机构全面风险管理水平，引导银行业金融机构更好服务实体经济，银监会近日发布了《银行业金融机构全面风险管理指引》（以下简称《指引》）。银监会有关部门负责人就《指引》相关问题回答了记者的提问。

一、《指引》制定的背景是什么？

答：《指引》制定的背景主要有三方面：一是我国银行业风险管理缺乏统领性规制。近年来，银监会陆续制定了各类审慎监管规则，覆盖了资本管理、信用风险、市场风险、流动性风险、操作风险、并表管理等各个领域，比较系统，但仍然缺乏一个针对全面风险管理的统领性、综合性规则。因此，有必要制定关于全面风险管理的审慎规制，为银行建立完善的全面风险管理体系提供政策依据和指导。二是银行业金融机构全面风险管理实践有待完善。我国银行业在全面风险管理体系建设上已取得一定的成果，但实践中仍然存在以下问题有待完善：第一，全面风险管理的统筹性和有效性有待提升。第二，中小银行业金融机构全面风险管理体系建设起步相对较晚，精细化程度有待提高。第三，银行业金融机构全面风险管理成果的应用较多基于银监会的监管要求，深度和广度仍有很大的拓展空间。三是国际监管改革对风险管理提出了新的要求。2008年国际金融危机后，国际组织和各国监管机构都在积极完善金融机构全面风险管理相关制度。2012年，巴塞尔委员会修订了《有效银行监管核心原则》，完善和细化了原则15“风险管理体系”的各项标准。之后，巴塞尔委员会和金融稳定理事会针对公司治理、风险偏好、风险文化和风险报告等全面风险管理要素陆续发布了一系列政策文件，提出了更具体的要求。《指引》的制定既是积极适应国际监管改革新要求的结果，又有助于提升我国银行业风险管理水平。

二、《指引》制定的主要思路是什么？

答：《指引》的起草主要基于以下思路：一是形成系统化的全面风险管理规制。二是提出风险管理的统领性框架，强化全面性和关联性视角。三是提高可操作性，提供全面风险管理和监管指南。四是引入《核心原则》最低标准，反映国际监管改革最新成果。五是充分考虑各类机构的差异化情况。六是注重与已有规制的衔接。

三、《指引》对全面风险管理有哪些原则性规定？

答：《指引》对银行业金融机构全面风险管理提出四点管理原则：一是匹配性原则。全面风险管理体系应当与风险状况和系统重要性等相适应，并根据环境变化进行调整。二是全覆盖原则。全面风险管理应当覆盖各个业务条线，包括本外币、表内外、境内外业务；覆盖所有分支机构、附属机构，部门、岗位和人员；覆盖所有风险种类和不同风险之间的相互影响；贯穿决策、执行和监督全部管理环节。三是独立性原则。银行业金融机构应当建立独立的全面风险管理组织架构，赋予风险管理条线足够的授权、人力资源及其他资源配置，建立科学合理的报告渠道，与业务条线之间形成相互制衡的运行机制。四是有效性原则。银行业金融机构应当将全面风险管理的结果应用于经营管理，根据风险状况、市场和宏观经济情况评估资本和流动性的充足性，有效抵御所承担的总体风险和各类风险。

四、《指引》对全面风险管理提出哪些主要要求？

答：《指引》提出了银行业金融机构全面风险管理体系的五个主要要素，包括风险治理架构，风险管理策略、风险偏好和风险限额，风险管理政策和程序，管理信息系统和数据质量控制，内部控制和审计体系等。《指引》对以上要素的具体内容也进行了规定。

其中，关于风险偏好，《指引》规定银行业金融机构应当制定书面的风险偏好，做到定性指标和定量指标并重，并提出了风险偏好应包括的七项具体内容。关于风险限额，《指引》提出，银行业金融机构应当制定风险限额管理的政策和程序，建立风险限额设定、限额调整、超限额报告和处理制度。同时，在风险限额临近监管指标限额时，银行业金融机构应当启动相应的纠正措施和报告程序，采取必要的风险分散措施，并向银行业监督管理机构报告。

五、《指引》对全面风险管理的责任主体提出哪些要求？

答：《指引》采用了风险管理“三道防线”的理念，强调银行业金融机构董事会承担全面风险管理的最终责任。银行业金融机构监事会承担全面风险管理的监督责任，负责监督检查董事会和高级管理层在风险管理方面的履职尽责情况并督促整改。银行业金融机构应当设立或指定部门负责全面风险管理，牵头履行全面风险的日常管理。银行业金融机构各业务经营条线承担风险管理的直接责任。

六、《指引》是否充分考虑各类机构的差异性？

答：《指引》定位于为银行业金融机构完善全面风险管理体系提供系统性指导框架。在此基础上，《指引》充分考虑了各类银行业金融机构的差异化情况。一是区分适用和参照执行。适用范围明确为我国境内设立的银行业金融机构，经银行业监督管理机构批准设立的其他金融机构参照本指引执行。二是明确匹配性原则。考虑到各类机构特点的差异性，《指引》明确提出全面风险管理体系应当与风险状况和系统重要性等相匹配，并根据环境变化进行调整。三是部分条款增加了适用的前提条件。如对规模较大或业务复杂的银行业金融机构提出设立风险总监（首席风险官）的要求。[2]

解读二

银行业金融机构全面风险管理指引[1]

中国银监会就《银行业金融机构全面风险管理指引（征求意见稿）》公开征求意见 为提升银行业金融机构全面风险管理水平，中国银监会起草了《银行业金融机构全面风险管理指引（征求意见稿）》（以下简称《指引》），现向社会公开征求意见。银监会将根据各界反馈意见，进一步修改完善《指引》，适时发布。

近年来，为加强和规范商业银行风险管理，银监会借鉴国际金融监管改革成果，紧密结合我国银行业实际，陆续制定了各类审慎监管规则，覆盖了资本管理、信用风险、市场风险、流动性风险、操作风险、并表管理等各个领域，初步建立起一套较为完整的风险管理规制体系。在此基础上，银监会从现有规则中梳理提炼出共性要素，同时参照巴塞尔银行委员会《有效银行监管核心原则》的基本要求，借鉴国际经验，起草了《指引》，形成了我国银行业全面风险管理的统领性、综合性规则，引导银行业树立全面风险管理意识，建立稳健的风险文化，健全风险管理治理架构和要素，完善全面风险管理体系，持续提高风险管理水平。

金融机构信息安全管理指引 第6篇

四川省银行业金融机构信息安全管理指引（试行）第一章 总 则

第一条 为切实加强四川省银行业金融机构（以下简称银行机构）信息安全工作的管理和指导，进一步增强银行机构信息安全保障能力，保障国家经济金融运行安全，保护金融消费权益和维护社会稳定，根据国家和人民银行总行有关规定和要求，特制订本指引。

第二条 本指引所称信息安全管理，是指在银行机构计算机系统建设、运行、维护、使用及废止等过程中，保障计算机数据信息、计算机系统、网络、机房基础设施等安全的一系列活动。

第三条 四川省内人民银行分支机构按属地管理原则对辖内银行机构信息安全工作进行管理、指导和协调。各银行机构负责本系统（单位）的信息安全管理，完成人民银行交办的信息安全管理任务、接受人民银行的监督和检查。

第四条 各银行机构信息安全管理工作的目标是：建立和完善与金融机构信息化发展相适应的信息安全保障体系，满足金融机构业务发展的安全性要求，保证信息系统和相关基础设施功能的正常发挥，有效防范、控制和化解信息技术风险，增强信息系统安全预警、应急处臵和灾难恢复能力，保障数据安全，显著提高金融机构业务持续运行保障水平。

第五条 各银行机构信息安全管理工作的主要任务是：

（一）加强组织领导，健全信息安全管理体制,建立跨部门、— 3 — 跨行业协调机制；

（二）加强信息安全队伍建设，落实岗位职责制，不断提高信息安全队伍业务技能；

（三）保证信息安全建设资金的投入，将信息安全纳入“五年”发展规划和年度工作计划，不断完善信息安全基础设施建设；

（四）进一步加强信息安全制度和标准规范体系建设；

（五）加大信息安全监督检查力度；加快以密码技术应用为基础的网络信任体系建设；

（六）加强安全运行监控体系建设；

（七）大力开展信息安全风险评估，实施等级保护；

（八）加快灾难恢复系统建设，建立和完善信息安全应急响应和信息通报机制；

（九）广泛、深入开展信息安全宣传教育活动，增强全员安全意识。

第六条 本指引适用于在四川省内设立的各政策性银行、国有商业银行、股份制银行、邮政储蓄银行、城市商业银行、农村商业银行、城市信用合作社、农村信用合作社、村镇银行的总部和分支机构。非银行机构参照执行。

第二章 组织机构

第七条 各银行机构应建立健全信息安全管理机构。应建立由行领导负责、相关部门负责人及内部专家组成的信息安全领导机构，负责本系统（单位）信息安全管理工作，决策本系统（单位）信息安全重大事宜。

第八条 各银行机构应设立或指定专门负责信息安全工作的部门，配备专门负责信息安全工作的人员，实行A、B岗制度。

第九条 各银行机构应建立和完善统一的信息安全协调机制。应建立内外部协调机制，加强信息安全的交流、沟通和协作，充分发挥纵向、横向协调的组织保障作用，有效提升信息安全保障能力。

第十条 各银行机构应明确信息安全管理部门、运营部门和应用部门的信息安全管理职责分工，科学制定安全规划，有效组织实施安全策略。

第十一条 各银行机构应建立完善的信息安全制度管理体系。第十二条 各银行机构信息安全分管行领导、信息安全主管部门及部门负责人变更后，应报当地人民银行备案。

第三章 人员管理

第十三条 各银行机构的工作人员应根据不同的岗位或工作范围，履行相应的信息安全管理职责。

第十四条 各银行机构应选派政治思想过硬、具有较高计算机水平的人员从事信息安全管理工作。凡是因违反国家法律法规和有关规定受到过处罚或处分的人员，不得从事此项工作。

第十五条 各银行机构应加大人才培养力度，每年至少对信息安全管理人员进行一次信息安全培训，适时对工作人员进行信息安全知识培训。

第十六条 各银行机构信息安全管理人员应认真履行职责：

（一）组织落实信息安全管理规定和本单位及分支机构信息安全保障工作，制定信息安全管理制度。

（二）审核信息化建设项目中的安全方案，组织实施信息安全项目建设，维护、管理信息安全专用设施。

（三）督促检查网络和信息系统的安全运行状况，组织检查运行操作、备份、机房环境与文档等安全管理情况，发现问题，及时通报和预警，并提出整改意见。统计分析和协调处臵信息安全事件。

（四）定期组织信息安全宣传教育活动，开展信息安全检查、评估与培训工作。

第十七条 加强对职工的信息安全教育，提高全员信息安全意识。加大专业技能培养，优化人员结构，形成梯队，重点加强数据中心高端系统运行人员技能的培养力度，不断增强自我运行操作能力与应急能力。合理配臵和使用人力资源，人尽其才，合理流动，广开人才来源。

第十八条 建立信息安全管理业绩评价体系，奖惩分明。

第四章 机房环境和设备资产管理

第十九条 本指引所称机房，是指网络与计算机设备放臵、运行的场所，包含供配电、通信、空调、消防、监控等配套环境设施。

第二十条 各银行机构机房的规划、建设、改造、运行、维护和机房设施配备，应符合国家计算机机房有关标准、行业管理有关要求和内部管理有关规定。

第二十一条 计算机机房应配套建设消防、防雷、门禁、视频监控、环境监控等系统，通过技术和管理手段，确保计算机机房及配套设施安全。

第二十二条 计算机机房配套建设的消防系统、防雷系统应通过国家主管部门的竣工验收和定期检测。

第二十三条 应建立健全计算机机房管理制度，落实专人担任机房管理员，定期巡查机房运行状况。机房管理员应经过相关专业培训，掌握机房各类设备的操作要领。

第二十四条 对计算机机房搬迁等可能影响系统正常运行的维护事项，事前需报当地人民银行备案。

第二十五条 对外提供柜面服务的场所与核心业务处理环境，应严格人员出入管理，并通过安装门禁、视频监控录像等系统，加强技术防范。

第二十六条 各银行机构应做好计算机设备的登记工作，严格设备资产管理，落实设备使用者的安全保护责任。

第二十七条 各银行机构应根据计算机设备的重要程度，采取相应等级的安全保护措施，防止未授权使用设备或信息。有特殊安全保密要求的计算机设备，应放臵在机房特殊功能区，并遵守相关安全保密规定。

第五章 密码技术及网络安全管理

第二十八条 各银行机构信息系统应根据安全需要合理运用密码技术和产品，所使用的密码技术与产品应符合国家密码管理相关规定。

第二十九条 各银行机构信息系统重要信息的传输、存储要采取一定强度的加密措施，建立规范的密钥管理制度。

第三十条 各银行机构信息系统所使用的网络应具备可信体系架构，具备身份认证、授权管理、跟踪审计等功能。

第三十一条 各银行机构信息系统所使用的网络应具备基本的

— 7 — 安全防范能力，能通过身份认证、访问控制、内容过滤、信息加密、网络隔离等措施有效防范来源于内部和外部的网络威胁。

第三十二条 各银行机构应严格网络安全配臵管理，制订合理的网络服务策略和强制路径策略，强化外部连接用户认证，加强远程诊断接口的保护。

第三十三条 各银行机构应规范划分网络安全域，利用国际互联网提供金融服务的信息系统要与办公网实现安全隔离，加强网络边界防护，保证重要信息不被泄露、篡改或非法利用。

第六章 国产化及外包服务

第三十四条 各银行机构应积极开展国外技术和产品的国产化替代工程，降低对外资厂商的依赖程度，消除外资产品可能植入后门、逻辑炸弹等恶意代码和记录信息装臵带来的安全隐患，提高信息安全自主可控水平。

第三十五条 在保证可用性的条件下，各银行机构应优先考虑购买使用国产的网络产品、服务器、终端设备、操作系统、数据库系统、中间件等软硬件产品和技术。

第三十六条 积极开展安全管理认证工作，开展测评认证时，应选择具有资质的国内认证和咨询机构，加强信息安全和保密管理，保证重要敏感信息不出境。

第三十七条 各银行机构应在充分评估风险控制的基础上使用 — 8 —

外包服务，并建立规范的外包服务管理机构及管理制度。

第三十八条 各银行机构涉及国计民生、银行关键业务的核心系统不得使用外包服务。重要业务系统托管应选择具有相关资质的中资机构。

第三十九条 各银行机构加强对外包服务全过程的跟踪管理，完善过程记录，定期对外包服务的实施过程风险和完成情况进行评估。

第四十条 各银行机构加强对外包服务商的管理，选择外包服务商应符合国家和行业监管部门信息安全相关规定，明确服务等级责任（SLA），签订保密协议。

第七章 风险评估及等级保护

第四十一条 各银行机构应加强对信息系统风险评估的管理，在信息系统方案设计、建设投产、运行维护、重大变更等各个重要环节应实施风险评估。

第四十二条 各银行机构使用的信息系统要适时、有效开展风险评估，重要信息系统至少每一年进行一次评估，并根据评估结果，及时研究整改存在的问题，实施安全加固。

第四十三条 各银行机构应每半年按照《四川省银行业金融机构信息安全评估规范》开展一次全面的自评估，在2月底和10月底上报当地人民银行。

第四十四条 各银行机构要严格控制风险评估过程的管理，有

— 9 — 规范的制度和专门人员，应建立风险预案，落实预防性应对措施，确保风险评估工作不影响生产系统安全。

第四十五条 各银行机构应每年梳理本机构运营使用的信息系统，按照国家和人民银行有关要求开展规范的定级工作，按人民银行要求报送定级评审材料，二级及以上信息系统需向当地公安部门备案。

第四十六条 各银行机构应对三级及以上的信息系统按照国家有关要求开展等级保护测评工作，并针对测评问题做好整改工作，并按照属地管理原则向当地人民银行报送测评整改总结报告。

第八章 灾难恢复系统和业务连续性体系

第四十七条 各银行机构应按照国家相关规范加强灾难恢复系统建设，制定覆盖所有重要信息系统的业务连续性计划和应急预案，建立和完善各项管理制度，提高业务持续运营能力。

第四十八条 实施数据集中的银行机构应同步规划、同步建设、同步运行同城或异地信息系统灾难恢复系统，逐步形成生产中心、同城灾备中心、异地灾备中心的“两地三中心”灾备架构。

第四十九条 各银行机构核心业务系统，应实施应用级备份；对于其他业务系统，可实施系统级或数据级备份。应适时备份和安全保存业务数据，定期对冗余备份系统、备份介质进行深度可用性检查。

第五十条 同城灾备中心对站点级灾难恢复能力应达到《信息安全技术 信息系统灾难恢复规范》（GB/T 20988-2007）中所定义 — 10 —

的灾难恢复能力等级第4级，并覆盖70%的重要信息系统（至少包含核心银行系统、支付结算系统、电子银行系统）。同城灾备中心原则上与生产中心距离应处于不同的供电区域，应回避危险区和干扰源。

第五十一条 异地灾备中心对城市级灾难恢复能力应达到《信息安全技术 信息系统灾难恢复规范》（GB/T 20988-2007）中所定义的灾难恢复能力等级第3级，并覆盖所有重要信息系统。异地灾备中心原则上与生产中心应处于不同地震板块，并应回避危险区和干扰源、回避与生产中心相同的灾患。

第五十二条 灾难备份中心的规划应综合平衡风险与成本、运维管理与灾难恢复力量等因素，进行业务影响、可行性、成本收益分析以及建设方案风险评估，明确灾难恢复策略。

第五十三条 灾难备份中心的选址要从国家整体安全出发，接受行业监管部门的指导，合理规划布局。建设方式包括自建、联合共建或利用外部企业（组织）的灾难备份设施等。

第五十四条 各银行机构每年开展业务连续性计划演练，演练方式包括桌面演练、模拟演练、单元演练、端到端演练和全面演练。应当至少每三年对全部重要业务开展一次业务连续性计划演练。在重大业务活动、重大社会活动等关键时点，或在关键资源发生重大变化之前，应开展专项演练。已建立灾难备份系统的单位，每年应对四分之一的重要信息系统（至少包括核心银行系统）组织一次系统级灾难的应急演练。

第五十五条 各银行机构应将外部供应商纳入演练范围，积极参加金融同业单位、外部金融市场、金融服务平台和公共事业部门

— 11 — 等组织的业务连续性计划演练，确保应急协调措施的有效性。

第九章 计算机系统和数据安全管理

第五十六条 本指引所称计算机系统，是指银行机构业务处理系统、管理信息系统和日常办公自动化系统等，包括数据库、软件和硬件支撑环境等。本指引所称的数据，是指以电子形式存储的银行机构业务数据、办公信息、系统运行日志、故障维护日志以及其他内部资料。

第五十七条 计算机系统建设项目应在规划与立项阶段，按照国家政策法规、行业监管的有关规定和业务实际需要，全面分析数据在输入、处理、输出等不同状态下的安全需求，统一考虑系统总体安全策略、安全技术框架、安全管理策略等安全问题，并进行论证，形成安全设计方案配套文件。

第五十八条 计算机系统开发应依据安全需求进行安全设计，保证安全功能的完整实现。开发人员不能兼任系统管理员或业务操作人员，不得在程序中设臵后门或恶意代码程序。采取外包方式进行开发的系统，还应与外部单位签署相关知识产权保护协议和保密协议，明确外部单位不得将计算机系统采用的关键安全技术措施和核心安全功能设计对外公开。

第五十九条 涉密计算机系统集成应选择具有国家相关部门颁发的涉密系统集成资质证书的单位，并签订严格的保密协议。

第六十条 计算机系统上线运行实行安全审查制度，未通过安全审查的任何新建或改造计算机系统不得投产运行。

第六十一条 计算机系统投产运行前，应根据安全设计方案制定严谨、规范的安全运维规定。

第六十二条 应指定专人作为系统管理员，具体负责计算机系 — 12 —

统的日常运行管理。系统管理员应定期检查系统日志，并建立重要计算机系统运行维护档案，详细记录系统变更及操作过程。重要计算机系统的系统设臵要求至少双人在场。

第六十三条 系统管理员不得兼任业务操作人员，确需对计算机系统数据库进行技术维护性操作的，应征得业务部门书面同意，在业务操作人员在场的情况下进行，并详细记录维护内容、人员、时间等信息。业务数据的录入、复核分岗设立，特别重要的业务数据录入，应增设审查岗，三个岗位不得由一人兼任。

第六十四条 应严格管理业务数据的增加、删除、修改等变更操作，按照既定备份策略执行数据备份操作，并定期测试备份数据的有效性。根据业务需求，明确备份数据保存期限，及时做好备份数据的销毁审查和登记工作。

第六十五条 各单位应定期导出重要计算机系统业务日志文件，进行明确标识并妥善保存。

第六十六条 所有数据备份介质应防磁、防潮、防尘、防高温、防挤压存放。恢复及使用备份数据时需要提供相关口令密码的，应把口令密码密封后与数据备份介质一并妥善保管。

第六十七条 需要废止的计算机系统内的数据信息，根据重要性和敏感程度，应使用专用工具进行相应消除处理，确保安全。

第十章 信息通报

第六十八条 应按照《银行计算机安全事件报告管理制度》（银发„2002‟280号）要求，及时向当地人民银行分支机构报告重大网络与信息安全事件。

第六十九条 应按照《四川银行业机构重大事项报告制度》（成银发„2010‟202号）要求，及时向当地人民银行分支机构报告重

— 13 — 大网络与信息安全事项。重大事项包括组织及策略类、网络及系统类、信息技术案件类、IT舆情类事项及重要保障时期的信息通报。组织及策略类是指金融机构高层主要负责人及信息化管理组织结构变动，信息科技部、电子金融业务部门主要负责人及组织结构变动，信息技术总体方针、战略、规划、路线变动，集中式数据中心规划设立。网络及系统类包括建设项、运行维护项及其他可能对金融机构网络与信息系统安全运行造成较大影响的计划内事项。建设项是指集中式数据中心机房的投产、改造、搬迁、关键网络基础设施及重要信息系统的投产、改造、升级。运行维护项是指机构IT架构变更及重要系统版本变更。信息技术犯罪案件类是指危害金融机构网络与信息系统安全的违法犯罪案件。IT舆情类是指公共媒体发布的、与金融机构网络和信息安全相关的、影响金融机构声誉的舆论事项。重要保障时期的信息通报是指在两会等国家重要时期，人民银行要求通报的事项。

第七十条 地方性商业银行应按照《中国人民银行成都分行 中国银行业监督管理委员会四川监管局转发关于调整优化银行业金融机构灾难备份中心整体布局的指导意见的通知》(成银发„2013‟98号)要求，及时将新建灾难备份中心选址方案、第三方灾难备份服务机构违法违规行为、本单位灾难备份中心和系统年度建设情况和计划及时报送当地人民银行。

第七十一条 每年底，按照人民银行通知，地方性法人银行业机构应认真总结当年信息安全工作开展情况，形成报告，在规定时间内上报。

第七十二条 人民银行机构接到银行机构的各类信息报告后，应进行评估，如有必要，应立即组织进行检查和处臵。

第十一章 附 则

第七十三条 本指引由人民银行成都分行解释。

第七十四条 本指引自发文之日起实施。以前有关规定与本指引不一致的，以本指引为准。