第一篇：商业银行风险管理指引
商业银行操作风险管理指引
中国银监会关于印发《商业银行操作风险管理指引》的通知
(银监发„2007‟42号2007年5月14日)
各银监局，各政策性银行、国有商业银行、股份制商业银行，邮政储蓄银行：
为加强商业银行的操作风险管理，推动商业银行进一步完善公司治理结构，提升风险管理能力，银监会制定了《商业银行操作风险管理指引》，现印发给你们，请遵照执行。 请各银监局将本通知转发至辖内各城市商业银行、农村商业银行、农村合作银行、农村信用社、城市信用社、外资独资银行、中外合资银行和外国银行分行主报告行。
二○○七年五月十四日
商业银行操作风险管理指引
第一章 总 则
第一条 为加强商业银行的操作风险管理，根据《中华人民共和国银行业监督管理法》、《中华人民共和国商业银行法》以及其他有关法律法规，制定本指引。
第二条 在中华人民共和国境内设立的中资商业银行、外商独资银行和中外合资银行适用本指引。
第三条 本指引所称操作风险是指由不完善或有问题的内部程序、员工和信息科技系统，以及外部事件所造成损失的风险。本定义所指操作风险包括法律风险，但不包括策略风险和声誉风险。
第四条 中国银行业监督管理委员会(以下简称银监会)依法对商业银行的操作风险管理实施监督检查，评价商业银行操作风险管理的有效性。
第二章 操作风险管理
第五条 商业银行应当按照本指引要求，建立与本行的业务性质、规模和复杂程度相适应的操作风险管理体系，有效地识别、评估、监测和控制/缓释操作风险。操作风险管理体系的具体形式不要求统一，但至少应包括以下基本要素：
(一)董事会的监督控制;
(二)高级管理层的职责;
(三)适当的组织架构;
(四)操作风险管理政策、方法和程序;
(五)计提操作风险所需资本的规定。
第六条 商业银行董事会应将操作风险作为商业银行面对的一项主要风险，并承担监控操作风险管理有效性的最终责任。主要职责包括：
(一)制定与本行战略目标相一致且适用于全行的操作风险管理战略和总体政策;
(二)通过审批及检查高级管理层有关操作风险的职责、权限及报告制度，确保全行的操作风险管理决策体系的有效性，并尽可能地确保将本行从事的各项业务面临的操作风险控制在可以承受的范围内;
(三)定期审阅高级管理层提交的操作风险报告，充分了解本行操作风险管理的总体情况、高级管理层处理重大操作风险事件的有效性以及监控和评价日常操作风险管理的有效
性;
(四)确保高级管理层采取必要的措施有效地识别、评估、监测和控制/缓释操作风险;
(五)确保本行操作风险管理体系接受内审部门的有效审查与监督;
(六)制定适当的奖惩制度，在全行范围有效地推动操作风险管理体系地建设。
第七条 商业银行的高级管理层负责执行董事会批准的操作风险管理战略、总体政策及体系。主要职责包括：
(一)在操作风险的日常管理方面，对董事会负最终责任;
(二)根据董事会制定的操作风险管理战略及总体政策，负责制定、定期审查和监督执行操作风险管理的政策、程序和具体的操作规程，并定期向董事会提交操作风险总体情况的报告;
(三)全面掌握本行操作风险管理的总体状况，特别是各项重大的操作风险事件或项目;
(四)明确界定各部门的操作风险管理职责以及操作风险报告的路径、频率、内容，督促各部门切实履行操作风险管理职责，以确保操作风险管理体系的正常运行;
(五)为操作风险管理配备适当的资源，包括但不限于提供必要的经费、设臵必要的岗位、配备合格的人员、为操作风险管理人员提供培训、赋予操作风险管理人员履行职务所必需的权限等;
(六)及时对操作风险管理体系进行检查和修订，以便有效地应对内部程序、产品、业务活动、信息科技系统、员工及外部事件和其他因素发生变化所造成的操作风险损失事件。
第八条 商业银行应指定部门专门负责全行操作风险管理体系的建立和实施。该部门与其他部门应保持独立，确保全行范围内操作风险管理的一致性和有效性。主要职责包括：
(一)拟定本行操作风险管理政策、程序和具体的操作规程，提交高级管理层和董事会审批;
(二)协助其他部门识别、评估、监测、控制及缓释操作风险;
(三)建立并组织实施操作风险识别、评估、缓释(包括内部控制措施)和监测方法以及全行的操作风险报告程序;
(四)建立适用全行的操作风险基本控制标准，并指导和协调全行范围内的操作风险管理;
(五)为各部门提供操作风险管理方面的培训，协助各部门提高操作风险管理水平、履行操作风险管理的各项职责;
(六)定期检查并分析业务部门和其他部门操作风险的管理情况;
(七)定期向高级管理层提交操作风险报告;
(八)确保操作风险制度和措施得到遵守。
第九条 商业银行相关部门对操作风险的管理情况负直接责任。主要职责包括：
(一)指定专人负责操作风险管理，其中包括遵守操作风险管理的政策、程序和具体的操作规程;
(二)根据本行统一的操作风险管理评估方法，识别、评估本部门的操作风险，并建立持续、有效的操作风险监测、控制/缓释及报告程序，并组织实施;
(三)在制定本部门业务流程和相关业务政策时，充分考虑操作风险管理和内部控制的要求，应保证各级操作风险管理人员参与各项重要的程序、控制措施和政策的审批，以确保与操作风险管理总体政策的一致性;
(四)监测关键风险指标，定期向负责操作风险管理的部门或牵头部门通报本部门操作风险管理的总体状况，并及时通报重大操作风险事件。
第十条 商业银行法律、合规、信息科技、安全保卫、人力资源等部门在管理好本部门操作风险的同时，应在涉及其职责分工及专业特长的范围内为其他部门管理操作风险提供相
关资源和支持。
第十一条 商业银行的内审部门不直接负责或参与其他部门的操作风险管理，但应定期检查评估本行的操作风险管理体系运作情况，监督操作风险管理政策的执行情况，对新出台的操作风险管理政策、程序和具体的操作规程进行独立评估，并向董事会报告操作风险管理体系运行效果的评估情况。
鼓励业务复杂程度较高和规模较大的商业银行委托社会中介机构对其操作风险管理体系定期进行审计和评价。
第十二条 商业银行应当制定适用于全行的操作风险管理政策。操作风险管理政策应当与银行的业务性质、规模、复杂程度和风险特征相适应。主要内容包括：
(一)操作风险的定义;
(二)适当的操作风险管理组织架构、权限和责任;
(三)操作风险的识别、评估、监测和控制/缓释程序;
(四)操作风险报告程序，其中包括报告的责任、路径、频率，以及对各部门的其他具体要求;
(五)应针对现有的和新推出的重要产品、业务活动、业务程序、信息科技系统、人员管理、外部因素及其变动，及时评估操作风险的各项要求。
第十三条 商业银行应当选择适当的方法对操作风险进行管理。
具体的方法可包括：评估操作风险和内部控制、损失事件的报告和数据收集、关键风险指标的监测、新产品和新业务的风险评估、内部控制的测试和审查以及操作风险的报告。
第十四条 业务复杂及规模较大的商业银行，应采用更加先进的风险管理方法，如使用量化方法对各部门的操作风险进行评估，收集操作风险损失数据，并根据各业务线操作风险的特点有针对性地进行管理。
第十五条 商业银行应当制定有效的程序，定期监测并报告操作风险状况和重大损失情况。应针对潜在损失不断增大的风险，建立早期的操作风险预警机制，以便及时采取措施控制、降低风险，降低损失事件的发生频率及损失程度。
第十六条 重大操作风险事件应当根据本行操作风险管理政策的规定及时向董事会、高级管理层和相关管理人员报告。
第十七条 商业银行应当将加强内部控制作为操作风险管理的有效手段，与此相关的内部措施至少应当包括：
(一)部门之间具有明确的职责分工以及相关职能的适当分离，以避免潜在的利益冲突;
(二)密切监测遵守指定风险限额或权限的情况;
(三)对接触和使用银行资产的记录进行安全监控;
(四)员工具有与其从事业务相适应的业务能力并接受相关培训;
(五)识别与合理预期收益不符及存在隐患的业务或产品;
(六)定期对交易和账户进行复核和对账;
(七)主管及关键岗位轮岗轮调、强制性休假制度和离岗审计制度;
(八)重要岗位或敏感环节员工八小时内外行为规范;
(九)建立基层员工署名揭发违法违规问题的激励和保护制度;
(十)查案、破案与处分适时、到位的双重考核制度;
(十一)案件查处和相应的信息披露制度;
(十二)对基层操作风险管控奖惩兼顾的激励约束机制。
第十八条 为有效地识别、评估、监测、控制和报告操作风险，商业银行应当建立并逐步完善操作风险管理信息系统。管理信息系统至少应当记录和存储与操作风险损失相关的数据和操作风险事件信息，支持操作风险和控制措施的自我评估，监测关键风险指标，并可提
供操作风险报告的有关内容。
第十九条 商业银行应当制定与其业务规模和复杂性相适应的应急和业务连续方案，建立恢复服务和保证业务连续运行的备用机制，并应当定期检查、测试其灾难恢复和业务连续机制，确保在出现灾难和业务严重中断时这些方案和机制的正常执行。
第二十条 商业银行应当制定与外包业务有关的风险管理政策，确保业务外包有严谨的合同和服务协议、各方的责任义务规定明确。
第二十一条 商业银行可购买保险以及与第三方签订合同，并将其作为缓释操作风险的一种方法，但不应因此忽视控制措施的重要作用。
购买保险等方式缓释操作风险的商业银行，应当制定相关的书面政策和程序。
第二十二条 商业银行应当按照银监会关于商业银行资本充足率管理的要求，为所承担的操作风险提取充足的资本。
第三章 操作风险监管
第二十三条 商业银行的操作风险管理政策和程序应报银监会备案。商业银行应按照规定向银监会或其派出机构报送与操作风险有关的报告。委托社会中介机构对其操作风险管理体系进行审计的，还应提交外部审计报告。
第二十四条 商业银行应及时向银监会或其派出机构报告下列重大操作风险事件：
(一)抢劫商业银行或运钞车、盗窃银行业金融机构现金30万元以上的案件，诈骗商业银行或其他涉案金额1000万元以上的案件;
(二)造成商业银行重要数据、账册、重要空白凭证严重损毁、丢失，造成在涉及两个或两个以上省(自治区、直辖市)范围内中断业务3小时以上，在涉及一个省(自治区、直辖市)范围内中断业务6小时以上，严重影响正常工作开展的事件;
(三)盗窃、出卖、泄漏或丢失涉密资料，可能影响金融稳定，造成经济秩序混乱的事件;
(四)高管人员严重违规;
(五)发生不可抗力导致严重损失，造成直接经济损失1000万元以上的事故、自然灾害;
(六)其他涉及损失金额可能超过商业银行资本净额1‰的操作风险事件;
(七)银监会规定其他需要报告的重大事件。
第二十五条 银监会对商业银行有关操作风险管理的政策、程序和做法进行定期的检查评估。主要内容包括：
(一)商业银行操作风险管理程序的有效性;
(二)商业银行监测和报告操作风险的方法，包括关键操作风险指标和操作风险损失数据;
(三)商业银行及时有效处理操作风险事件和薄弱环节的措施;
(四)商业银行操作风险管理程序中的内控、检查和内审程序;
(五)商业银行灾难恢复和业务连续方案的质量和全面性;
(六)计提的抵御操作风险所需资本的充足水平;
(七)操作风险管理的其他情况。
第二十六条 对于银监会在监管中发现的有关操作风险管理的问题，商业银行应当在规定的时限内，提交整改方案并采取整改措施。
对于发生重大操作风险事件而未在规定时限内采取有效整改措施的商业银行，银监会将依法采取相关监管措施。
第四章 附则
第二十七条 政策性银行、金融资产管理公司、城市信用社、农村信用社、农村合作银行、信托投资公司、财务公司、金融租赁公司、汽车金融公司、货币经纪公司、邮政储蓄机构等其他银行业金融机构参照本指引执行。
第二十八条 未设董事会的银行业金融机构，应当由其经营决策机构履行本指引规定的董事会的有关操作风险管理职责。
第二十九条 在中华人民共和国境内设立的外国银行分行，应当遵循其总行制定的操作风险管理政策和程序，按照规定向银监会或其派出机构报告重大操作风险事件并接受银监会的监管;其总行未制定操作风险管理政策和程序的，按照本指引的有关要求执行。
第三十条 本指引所涉及的有关名词见附录。
第三十一条 本指引自发布之日起施行。
附录：《商业银行操作风险管理指引》有关名词的说明附录
《商业银行操作风险管理指引》有关名词的说明
一、操作风险事件
操作风险事件是指由不完善或有问题的内部程序、员工和信息科技系统，以及外部因素所造成财务损失或影响银行声誉、客户和员工的操作事件，具体事件包括：内部欺诈，外部欺诈，就业制度和工作场所安全，客户、产品和业务活动，实物资产的损坏，营业中断和信息技术系统瘫痪，执行、交割和流程管理七种类型(进一步的信息可参阅《统一资本计量和资本标准的国际协议：修订框架》，即巴塞尔新资本协议的“附录7：损失事件分类详表”)。
二、自我风险评估、关键风险指标
商业银行用于识别、评估操作风险的常用工具。
(一)自我风险评估
自我风险评估是指商业银行识别和评估潜在操作风险以及自身业务活动的控制措施、适当程度及有效性的操作风险管理工具。
(二)关键风险指标
关键风险指标是指代表某一风险领域变化情况并可定期监控的统计指标。关键风险指标可用于监测可能造成损失事件的各项风险及控制措施，并作为反映风险变化情况的早期预警指标(高级管理层可据此迅速采取措施)，具体指标例如：每亿元资产损失率、每万人案件发生率、百万元以上案件发生比率、超过一定期限尚未确认的交易数量、失败交易占总交易数量的比例、员工流动率、客户投诉次数、错误和遗漏的频率以及严重程度等。
三、法律风险
法律风险包括但不限于下列风险：1.商业银行签订的合同因违反法律或行政法规可能被依法撤销或者确认无效的;2.商业银行因违约、侵权或者其他事由被提起诉讼或者申请仲裁，依法可能承担赔偿责任的;3.商业银行的业务活动违反法律或行政法规，依法可能承担行政责任或者刑事责任的。
第二篇：商业银行合规风险管理指引
第一条 为加强商业银行合规风险管理，维护商业银行安全稳健运行，根据《中华人民共和国银行业监督管理法》和《中华人民共和国商业银行法》，制定本指引。
第二条 在中华人尽共和国境内设立的中资商业银行、外资独资银行、中外合资银行和外国银行分行适用本指引。
在中华人民共和国境内设立的政策性银行、金融资产管理公司、城市信用合作社、农村信用合作社、信托投资公司、企业集团财务公司、金融租赁公司、汽车金融公司，货币经纪公司、邮政储蓄机构以及经银监会批准设立的其他金融机构参照本指引执行。
第三条 本指引所称法律、规则和准则，是指适用于银行业经营活动的法律、行政法规、部门规章及其他规范性文件、经营规则、自律性组织的行业准则、行为守则和职业操守。
本指引所称合规，是指使商业银行的经营活动与法律、规则和准则相一致。 本指引所称合规风险，是指商业银行因没有遵循法律、规则和准则可能遭受法律制裁、监管处罚、重大财务损失和声誉损失的风险。
本指引所称合规管理部门，是指商业银行内部设立的专门负责合规管理职能的部门、团队或岗位。
第四条 合规管理是商业银行一项核心的风险管理活动。商业银行应综合考虑合规风险与信用风险、市场风险、操作风险和其他风险的关联性，确保各项风险管理政策和程序的一致性。
第五条 商业银行合规风险管理的目标是通过建立健全合规风险管理框架，实现对合规风险的有效识别和管理，促进全面风险管理体系建设于确保依法合规经营。
第六条 商业银行应加强合规文化建设，并将合规文化建设融入企业文化建设全过程。
合规是商业银行所有员工的共同责任，并应从商业银行高层做起。 董事会和高级管理层应确定合规的基调，确立全员主动合规、合规创造价值等合规理念，在全行推行诚信与正直的职业操守和价值观念，提高全体员工的合规意识，促进商业银行自身合规与外部监管的有效互动。
第七条 银监会依法对商业银行合规风险管理实施监管，检查和评价商业银行合规风险管理的有效性。
第八条 商业银行应建立与其经营范围、组织结构和业务规模相适应的合规风险管理体系。
合规风险管理体系应包括以下基本要素：
(一)合规政策;
(二)合规管理部门的组织结构和资源;
(三)合规风险管理计划;
(四)合规风险识别和管理流程;
(五)合规培训与教育制度。
第九条 商业银行的合规政策应明确所有员工和业务条线需要遵守的基本原则，以及识别和管理合规风险的主要程序，并对合规管理职能的有关事项做出规定，至少应包括：
(一)合规管理部门的功能和职责;
(二)合规管理部门的权限，包括享有与银行任何员工进行沟通并获取履行职责所需的任何记录或档案材料的权利等;
(三)合规负责人的合规管理职责;
(四)保证合规负责人和合规管理部门独立性的各项措施，包括确保合规负责人和合规管理人员的合规管理职责与其承担的任何其他职责之间不产生利益冲突等;
(五)合规管理部门与风险管理部门、内部审计部门等其他部门之间的协作关系;
(六)设立业务条线和分支机构合规管理部门的原则。
第十条 董事会应对商业银行经营活动的合规性负最终责任，履行以下合规管理职责：
(一)审议批准商业银行的合规政策，并监督合规政策的实施;
(二)审议批准高级管理层提交的合规风险管理报告，并对商业银行管理合规风险的有效性作出评价，以使合规缺陷得到及时有效的解决;
(三)授权董事会下设的风险管理委员会、审计委员会或专门设立的合规管理委员会对商业银行合规风险管理进行日常监督;
(四)商业银行章程规定的其他合规管理职责。
第十一条 负责日常监督商业银行合规风险管理的董事会下设委员会应通过与合规负责人单独面谈和其他有效途径，了解合规政策的实施情况和存在的问题，及时向董事会或高级管理层提出相应的意见和建议，监督合规政策的有效实施。
第十二条 监事会应监督董事会和高级管理层合规管理职责的履行情况。 第十三条 高级管理层应有效管理商业银行的合规风险，履行以下合规管理职责：
(一)制定书面的合规政策，并根据合规风险管理状况以及法律、规则和准则的变化情况适时修订合规政策，报经董事会审议批准后传达给全体员工;
(二)贯彻执行合规政策，确保发现违规事件时及时采取适当的纠正措施，并追究违规责任人的相应责任;
(三)任命合规负责人，并确保合规负责人的独立性;
(四)明确合规管理部门及其组织结构，为其履行职责配备充分和适当的合规管理人员，并确保合规管理部门的独立性;
(五)识别商业银行所面临的主要合规风险，审核批准合规风险管理计划，确保合规管理部门与风险管理部门、内部审计部门以及其他相关部门之间的工作协调;
(六)每年向董事会提交合规风险管理报告，报告应提供充分依据并有助于董事会成员判断高级管理层管一理合规风险的有效性;
(七)及时向董事会或其下设委员会、监事会报告任何重大违规事件;
(八)合规政策规定的其他职责。
第十四条 合规负责人应全面协调商业银行合规风险的识别和管理，监督合规管理部门根据合规风险管理计划履行职责，定期向高级管理层提交合规风险评估报告。合规负责人不得分管业务条线。 合规风险评估报告包括但不限于以下内容：报告期合规风险状况的变化情况、已识别的违规事件和合规缺陷、已采取的或建议采取的纠正措施等。
第十五条 商业银行应建立对管理人员合规绩效的考核制度。商业银行的绩效考核应体现倡导合规和惩处违规的价值观念。
第十六条 商业银行应建立有效的合规问责制度，严格对违规行为的责任认定与追究，并采取有效的纠正措施，及时改进经营管理流程，适时修订相关政策、程序和操作指南。
第十七条 商业银行应建立诚信举报制度，鼓励员工举报违法、违反职业操守或可疑的行为，并充分保护举报人。
第十八条 合规管理部门应在合规负责人的管理下协助高级管理层有效识别和管理商业银行所面临的合规风险，履行以下基本职责：
(一)持续关注法律、规则和准则的最新发展，正确理解法律、规则和准则的规定及其精神，准确把握法律、规则和准则对商业银行经营的影响，及时为高级管理层提供合规建议;
(二)制定并执行风险为本的合规管理计划，包括特定政策和程序的实施与评价、合规风险评估、合规性测试、合规培训与教育等;
(三)审核评价商业银行各项政策、程序和操作指南的合规性，组织、协调和督促各业务条线和内部控制部门对各项政策、程序和操作指南进行梳理和修订，确保各项政策、程序和操作指南符合法律、规则和准则的要求;
(四)协助相关培训和教育部门对员工进行合规培训，包括新员工的合规培训，以及所有员工的定期合规培训，并成为员工咨询有关合规问题的内部联络部门;
(五)组织制定合规管理程序以及合规手册、员工行为准则等合规指南，并评估合规管理程序和合规指南的适当性，为员工恰当执行法律、规则和准则提供指导;
(六)积极主动地识别和评估与商业银行经营活动相关的合规风险，包括为新产品和新业务的开发提供必要的合规性审核和测试，识别和评估新业务方式的拓展、新客户关系的建立以及客户关系的性质发生重大变化等所产生的合规风险;
(七)收集、筛选可能预示潜在合规问题的数据，如消费者投诉的增长数、异常交易等，建立合规风险监测指标，按照风险矩阵衡量合规风险发生的可能性和影响，确定合规风险的优先考虑序列;
(八)实施充分且有代表性的合规风险评估和测试，包括通过现场审核对各项政策和程序的合规性进行测试，询问政策和程序存在的缺陷，并进行相应的调查，合规性测试结果应按照商业银行的内部风险管理程序，通过合规风险报告路线向上报告，以确保各项政策和程序符合法律、规则和准则的要求;
(九)保持与监管机构日常的工作联系，跟踪和评估监管意见和监管要求的落实情况。
第十九条 商业银行应为合规管理部门配备有效履行合规管理职能的资源。合规管理人员应具备与履行职责相匹配的资质、经验、专业技能和个人素质。
商业银行应定期为合规管理人员提供系统的专业技能培训，尤其是在正确把握法律、规则和准则的最新发展及其对商业银行经营的影响等方面的技能培训。
第二十条 商业银行各业务条线和分支机构的负责人应对本条线和本机构经营活动的合规性负首要责任。
商业银行应根据业务条线和分支机构的经营范围、业务规模设立相应的合规管理部门。
各业务条线和分支机构合规管理部门应根据合规管理程序主动识别和管理合规风险，按照合规风险的报告路线和报告要求及时报告。
第二十一条 商业银行应建立合规管理部门与风险管理部门在合规管理方面的协作机制。
第二十二条 商业银行合规管理职能应与内部审计职能分离，合规管理职能的履行情况应受到内部审计部门定期的独立评价。内部审计部门应负责商业银行各项经营活动的合规性审计。
内部审计方案应包括合规管理职能适当性和有效性的审计评价，内部审计的风险评估方法应包括对合规风险的评估。
商业银行应明确合规管理部门与内部审计部门在合规风险评估和合规性测试方面的职责。内部审计部门应随时将合规性审计结果告知合规负责人。 第二十三条 商业银行应明确合规风险报告路线以及合规风险报告的要素、格式和频率。
第二十四条 商业银行境外分支机构或附属机构应加强合规管理职能，合规管理职能的组织结构应符合当地的法律和监管要求。
第二十五条 董事会和高级管理层应对合规管理部门工作的外包遵循法律、规则和准则负责。
商业银行应确保任何合规管理部门工作的外包安排都受到合规负责人的适当监督，不妨碍银监会的有效监管。
第二十六条 商业银行应及时将合规政策、合规管理程序和合规指南等内部制度向银监会备案。
商业银行应及时向银监会报送合规风险管理计划和合规风险评估报告。 商业银行发现重大违规事件应按照重大事项报告制度的规定向银监会报告。
第二十七条 商业银行任命合规负责人，应按有关规定报告银监会。商业银行在合规负责人离任后的十个工作日内，应向银监会报告离任原因等有关情况。
第二十八条 银监会应定期对商业银行合规风险管理的有效性进行评价，评价报告作为分类监管的重要依据。
第二十九条 银监会应根据商业银行的合规记录及合规风险管理评价报告，确定合规风险现场检查的频率、范围和深度，检查的主要内容包括：
(一)商业银行合规风险管理体系的适当性和有效性;
(二)商业银行董事会和高级管理层在合规风险管理中的作用;
(三)商业银行绩效考核制度、问责制度和诚信举报制度的适当性和有效性;
(四)商业银行合规管理职能的适当性和有效性。 第三十条 本指引由银监会负责解释。 第三十一条 本指引自发布之日起实施。
第三篇：商业银行操作风险管理指引
银监发[2007]42号 银监会
2007-5-14
第一章 总 则
第一条 为加强商业银行的操作风险管理，根据《中华人民共和国银行业监督管理法》、《中华人民共和国商业银行法》以及其他有关法律法规，制定本指引。
第二条 在中华人民共和国境内设立的中资商业银行、外商独资银行和中外合资银行适用本指引。
第三条 本指引所称操作风险是指由不完善或有问题的内部程序、员工和信息科技系统，以及外部事件所造成损失的风险。本定义所指操作风险包括法律风险，但不包括策略风险和声誉风险。
第四条 中国银行业监督管理委员会(以下简称银监会)依法对商业银行的操作风险管理实施监督检查，评价商业银行操作风险管理的有效性。
第二章 操作风险管理
第五条 商业银行应当按照本指引要求，建立与本行的业务性质、规模和复杂程度相适应的操作风险管理体系，有效地识别、评估、监测和控制/缓释操作风险。操作风险管理体系的具体形式不要求统一，但至少应包括以下基本要素：
(一)董事会的监督控制;
(二)高级管理层的职责;
(三)适当的组织架构;
(四)操作风险管理政策、方法和程序;
(五)计提操作风险所需资本的规定。
第六条 商业银行董事会应将操作风险作为商业银行面对的一项主要风险，并承担监控操作风险管理有效性的最终责任。主要职责包括：
(一)制定与本行战略目标相一致且适用于全行的操作风险管理战略和总体政策;
(二)通过审批及检查高级管理层有关操作风险的职责、权限及报告制度，确保全行的操作风险管理决策体系的有效性，并尽可能地确保将本行从事的各项业务面临的操作风险控制在可以承受的范围内;
(三)定期审阅高级管理层提交的操作风险报告，充分了解本行操作风险管理的总体情况、高级管理层处理重大操作风险事件的有效性以及监控和评价日常操作风险管理的有效性;
(四)确保高级管理层采取必要的措施有效地识别、评估、监测和控制/缓释操作风险;
(五)确保本行操作风险管理体系接受内审部门的有效审查与监督;
(六)制定适当的奖惩制度，在全行范围有效地推动操作风险管理体系地建设。
第七条 商业银行的高级管理层负责执行董事会批准的操作风险管理战略、总体政策及体系。主要职责包括：
(一)在操作风险的日常管理方面，对董事会负最终责任;
(二)根据董事会制定的操作风险管理战略及总体政策，负责制定、定期审查和监督执行操作风险管理的政策、程序和具体的操作规程，并定期向董事会提交操作风险总体情况的报告;
(三)全面掌握本行操作风险管理的总体状况，特别是各项重大的操作风险事件或项目;
(四)明确界定各部门的操作风险管理职责以及操作风险报告的路径、频率、内容，督促各部门切实履行操作风险管理职责，以确保操作风险管理体系的正常运行;
(五)为操作风险管理配备适当的资源，包括但不限于提供必要的经费、设置必要的岗位、配备合格的人员、为操作风险管理人员提供培训、赋予操作风险管理人员履行职务所必需的权限等;
(六)及时对操作风险管理体系进行检查和修订，以便有效地应对内部程序、产品、业务活动、信息科技系统、员工及外部事件和其他因素发生变化所造成的操作风险损失事件。
第八条 商业银行应指定部门专门负责全行操作风险管理体系的建立和实施。该部门与其他部门应保持独立，确保全行范围内操作风险管理的一致性和有效性。主要职责包括：
(一)拟定本行操作风险管理政策、程序和具体的操作规程，提交高级管理层和董事会审批;
(二)协助其他部门识别、评估、监测、控制及缓释操作风险;
(三)建立并组织实施操作风险识别、评估、缓释(包括内部控制措施)和监测方法以及全行的操作风险报告程序;
(四)建立适用全行的操作风险基本控制标准，并指导和协调全行范围内的操作风险管理;
(五)为各部门提供操作风险管理方面的培训，协助各部门提高操作风险管理水平、履行操作风险管理的各项职责;
(六)定期检查并分析业务部门和其他部门操作风险的管理情况;
(七)定期向高级管理层提交操作风险报告;
(八)确保操作风险制度和措施得到遵守。
第九条 商业银行相关部门对操作风险的管理情况负直接责任。主要职责包括：
(一)指定专人负责操作风险管理，其中包括遵守操作风险管理的政策、程序和具体的操作规程;
(二)根据本行统一的操作风险管理评估方法，识别、评估本部门的操作风险，并建立持续、有效的操作风险监测、控制/缓释及报告程序，并组织实施;
(三)在制定本部门业务流程和相关业务政策时，充分考虑操作风险管理和内部控制的要求，应保证各级操作风险管理人员参与各项重要的程序、控制措施和政策的审批，以确保与操作风险管理总体政策的一致性;
(四)监测关键风险指标，定期向负责操作风险管理的部门或牵头部门通报本部门操作风险管理的总体状况，并及时通报重大操作风险事件。
第十条 商业银行法律、合规、信息科技、安全保卫、人力资源等部门在管理好本部门操作风险的同时，应在涉及其职责分工及专业特长的范围内为其他部门管理操作风险提供相关资源和支持。
第十一条 商业银行的内审部门不直接负责或参与其他部门的操作风险管理，但应定期检查评估本行的操作风险管理体系运作情况，监督操作风险管理政策的执行情况，对新出台的操作风险管理政策、程序和具体的操作规程进行独立评估，并向董事会报告操作风险管理体系运行效果的评估情况。
鼓励业务复杂程度较高和规模较大的商业银行委托社会中介机构对其操作风险管理体系定期进行审计和评价。
第十二条 商业银行应当制定适用于全行的操作风险管理政策。操作风险管理政策应当与银行的业务性质、规模、复杂程度和风险特征相适应。主要内容包括：
(一)操作风险的定义;
(二)适当的操作风险管理组织架构、权限和责任;
(三)操作风险的识别、评估、监测和控制/缓释程序;
(四)操作风险报告程序，其中包括报告的责任、路径、频率，以及对各部门的其他具体要求;
(五)应针对现有的和新推出的重要产品、业务活动、业务程序、信息科技系统、人员管理、外部因素及其变动，及时评估操作风险的各项要求。
第十三条 商业银行应当选择适当的方法对操作风险进行管理。
具体的方法可包括：评估操作风险和内部控制、损失事件的报告和数据收集、关键风险指标的监测、新产品和新业务的风险评估、内部控制的测试和审查以及操作风险的报告。
第十四条 业务复杂及规模较大的商业银行，应采用更加先进的风险管理方法，如使用量化方法对各部门的操作风险进行评估，收集操作风险损失数据，并根据各业务线操作风险的特点有针对性地进行管理。
第十五条 商业银行应当制定有效的程序，定期监测并报告操作风险状况和重大损失情况。应针对潜在损失不断增大的风险，建立早期的操作风险预警机制，以便及时采取措施控制、降低风险，降低损失事件的发生频率及损失程度。
第十六条 重大操作风险事件应当根据本行操作风险管理政策的规定及时向董事会、高级管理层和相关管理人员报告。
第十七条 商业银行应当将加强内部控制作为操作风险管理的有效手段，与此相关的内部措施至少应当包括：
(一)部门之间具有明确的职责分工以及相关职能的适当分离，以避免潜在的利益冲突;
(二)密切监测遵守指定风险限额或权限的情况;
(三)对接触和使用银行资产的记录进行安全监控;
(四)员工具有与其从事业务相适应的业务能力并接受相关培训;
(五)识别与合理预期收益不符及存在隐患的业务或产品;
(六)定期对交易和账户进行复核和对账;
(七)主管及关键岗位轮岗轮调、强制性休假制度和离岗审计制度;
(八)重要岗位或敏感环节员工八小时内外行为规范;
(九)建立基层员工署名揭发违法违规问题的激励和保护制度;
(十)查案、破案与处分适时、到位的双重考核制度;
(十一)案件查处和相应的信息披露制度;
(十二)对基层操作风险管控奖惩兼顾的激励约束机制。
第十八条 为有效地识别、评估、监测、控制和报告操作风险，商业银行应当建立并逐步完善操作风险管理信息系统。管理信息系统至少应当记录和存储与操作风险损失相关的数据和操作风险事件信息，支持操作风险和控制措施的自我评估，监测关键风险指标，并可提供操作风险报告的有关内容。
第十九条 商业银行应当制定与其业务规模和复杂性相适应的应急和业务连续方案，建立恢复服务和保证业务连续运行的备用机制，并应当定期检查、测试其灾难恢复和业务连续机制，确保在出现灾难和业务严重中断时这些方案和机制的正常执行。
第二十条 商业银行应当制定与外包业务有关的风险管理政策，确保业务外包有严谨的合同和服务协议、各方的责任义务规定明确。
第二十一条 商业银行可购买保险以及与第三方签订合同，并将其作为缓释操作风险的一种方法，但不应因此忽视控制措施的重要作用。
购买保险等方式缓释操作风险的商业银行，应当制定相关的书面政策和程序。
第二十二条 商业银行应当按照银监会关于商业银行资本充足率管理的要求，为所承担的操作风险提取充足的资本。
第三章 操作风险监管
第二十三条 商业银行的操作风险管理政策和程序应报银监会备案。商业银行应按照规定向银监会或其派出机构报送与操作风险有关的报告。委托社会中介机构对其操作风险管理体系进行审计的，还应提交外部审计报告。
第二十四条 商业银行应及时向银监会或其派出机构报告下列重大操作风险事件：
(一)抢劫商业银行或运钞车、盗窃银行业金融机构现金30万元以上的案件，诈骗商业银行或其他涉案金额1000万元以上的案件;
(二)造成商业银行重要数据、账册、重要空白凭证严重损毁、丢失，造成在涉及两个或两个以上省(自治区、直辖市)范围内中断业务3小时以上，在涉及一个省(自治区、直辖市)范围内中断业务6小时以上，严重影响正常工作开展的事件;
(三)盗窃、出卖、泄漏或丢失涉密资料，可能影响金融稳定，造成经济秩序混乱的事件;
(四)高管人员严重违规;
(五)发生不可抗力导致严重损失，造成直接经济损失1000万元以上的事故、自然灾害;
(六)其他涉及损失金额可能超过商业银行资本净额1‰的操作风险事件;
(七)银监会规定其他需要报告的重大事件。
第二十五条 银监会对商业银行有关操作风险管理的政策、程序和做法进行定期的检查评估。主要内容包括：
(一)商业银行操作风险管理程序的有效性;
(二)商业银行监测和报告操作风险的方法，包括关键操作风险指标和操作风险损失数据;
(三)商业银行及时有效处理操作风险事件和薄弱环节的措施;
(四)商业银行操作风险管理程序中的内控、检查和内审程序;
(五)商业银行灾难恢复和业务连续方案的质量和全面性;
(六)计提的抵御操作风险所需资本的充足水平;
(七)操作风险管理的其他情况。
第二十六条 对于银监会在监管中发现的有关操作风险管理的问题，商业银行应当在规定的时限内，提交整改方案并采取整改措施。
对于发生重大操作风险事件而未在规定时限内采取有效整改措施的商业银行，银监会将依法采取相关监管措施。
第四章 附则
第二十七条 政策性银行、金融资产管理公司、城市信用社、农村信用社、农村合作银行、信托投资公司、财务公司、金融租赁公司、汽车金融公司、货币经纪公司、邮政储蓄机构等其他银行业金融机构参照本指引执行。
第二十八条 未设董事会的银行业金融机构，应当由其经营决策机构履行本指引规定的董事会的有关操作风险管理职责。
第二十九条 在中华人民共和国境内设立的外国银行分行，应当遵循其总行制定的操作风险管理政策和程序，按照规定向银监会或其派出机构报告重大操作风险事件并接受银监会的监管;其总行未制定操作风险管理政策和程序的，按照本指引的有关要求执行。
第三十条 本指引所涉及的有关名词见附录。
第三十一条 本指引自发布之日起施行。
附录
《商业银行操作风险管理指引》有关名词的说明
一、操作风险事件
操作风险事件是指由不完善或有问题的内部程序、员工和信息科技系统，以及外部因素所造成财务损失或影响银行声誉、客户和员工的操作事件，具体事件包括：内部欺诈，外部欺诈，就业制度和工作场所安全，客户、产品和业务活动，实物资产的损坏，营业中断和信息技术系统瘫痪，执行、交割和流程管理七种类型(进一步的信息可参阅《统一资本计量和资本标准的国际协议：修订框架》，即巴塞尔新资本协议的“附录7：损失事件分类详表”)。
二、自我风险评估、关键风险指标
商业银行用于识别、评估操作风险的常用工具。
(一)自我风险评估
自我风险评估是指商业银行识别和评估潜在操作风险以及自身业务活动的控制措施、适当程度及有效性的操作风险管理工具。
(二)关键风险指标
关键风险指标是指代表某一风险领域变化情况并可定期监控的统计指标。关键风险指标可用于监测可能造成损失事件的各项风险及控制措施，并作为反映风险变化情况的早期预警指标(高级管理层可据此迅速采取措施)，具体指标例如：每亿元资产损失率、每万人案件发生率、百万元以上案件发生比率、超过一定期限尚未确认的交易数量、失败交易占总交易数量的比例、员工流动率、客户投诉次数、错误和遗漏的频率以及严重程度等。
三、法律风险
法律风险包括但不限于下列风险：1.商业银行签订的合同因违反法律或行政法规可能被依法撤销或者确认无效的;2.商业银行因违约、侵权或者其他事由被提起诉讼或者申请仲裁，依法可能承担赔偿责任的;3.商业银行的业务活动违反法律或行政法规，依法可能承担行政责任或者刑事责任的。
第四篇：商业银行并购贷款风险管理指引
第一章 总则
第一条 为规范商业银行并购贷款经营行为，提高商业银行并购贷款风险管理能力，加强商业银行对经济结构调整和资源优化配置的支持力度，促进银行业公平竞争，维护银行业合法稳健运行，根据《中华人民共和国银行业监督管理法》、《中华人民共和国商业银行法》等法律法规，制定本指引。
第二条 本指引所称商业银行是指依照《中华人民共和国商业银行法》设立的商业银行法人机构。
第三条 本指引所称并购，是指境内并购方企业通过受让现有股权、认购新增股权，或收购资产、承接债务等方式以实现合并或实际控制已设立并持续经营的目标企业或资产的交易行为。
并购可由并购方通过其专门设立的无其他业务经营活动的全资或控股子公司(以下称子公司)进行。
第四条 本指引所称并购贷款，是指商业银行向并购方或其子公司发放的，用于支付并购交易价款和费用的贷款。
第五条 开办并购贷款业务的商业银行法人机构应当符合以下条件：
(一)有健全的风险管理和有效的内控机制;
(二)资本充足率不低于10%;
(三)其他各项监管指标符合监管要求;
(四)有并购贷款尽职调查和风险评估的专业团队。 商业银行开办并购贷款业务前，应当制定并购贷款业务流程和内控制度，并向监管机构报告。商业银行开办并购贷款业务后，如发生不能持续满足上述条件之一的情况，应当停止办理新的并购贷款业务。
第六条 商业银行开办并购贷款业务应当遵循依法合规、审慎经营、风险可控、商业可持续的原则。
第七条 商业银行应制定并购贷款业务发展策略，充分考虑国家产业、土地、环保等相关政策，明确发展并购贷款业务的目标、客户范围、风险承受限额及其主要风险特征，合理满足企业兼并重组融资需求。
第八条 商业银行应按照管理强度高于其他贷款种类的原则建立相应的并购贷款管理制度和管理信息系统，确保业务流程、内控制度以及管理信息系统能够有效地识别、计量、监测和控制并购贷款的风险。
商业银行应按照监管要求建立并购贷款统计制度，做好并购贷款的统计、汇总、分析等工作。
第九条 银监会及其派出机构依法对商业银行并购贷款业务实施监督管理，发现商业银行不符合业务开办条件或违反本指引有关规定，不能有效控制并购贷款风险的，可根据有关法律法规采取责令商业银行暂停并购贷款业务等监管措施。
第二章 风险评估
第十条 商业银行应在全面分析战略风险、法律与合规风险、整合风险、经营风险以及财务风险等与并购有关的各项风险的基础上评估并购贷款的风险。商业银行并购贷款涉及跨境交易的，还应分析国别风险、汇率风险和资金过境风险等。 第十一条 商业银行评估战略风险，应从并购双方行业前景、市场结构、经营战略、管理团队、企业文化和股东支持等方面进行分析，包括但不限于以下内容：
(一)并购双方的产业相关度和战略相关性，以及可能形成的协同效应;
(二)并购双方从战略、管理、技术和市场整合等方面取得额外回报的机会;
(三)并购后的预期战略成效及企业价值增长的动力来源;
(四)并购后新的管理团队实现新战略目标的可能性;
(五)并购的投机性及相应风险控制对策;
(六)协同效应未能实现时，并购方可能采取的风险控制措施或退出策略。 第十二条 商业银行评估法律与合规风险，包括但不限于分析以下内容：
(一)并购交易各方是否具备并购交易主体资格;
(二)并购交易是否按有关规定已经或即将获得批准，并履行必要的登记、公告等手续;
(三)法律法规对并购交易的资金来源是否有限制性规定;
(四)担保的法律结构是否合法有效并履行了必要的法定程序;
(五)借款人对还款现金流的控制是否合法合规;
(六)贷款人权利能否获得有效的法律保障;
(七)与并购、并购融资法律结构有关的其他方面的合规性。
第十三条 商业银行评估整合风险，包括但不限于分析并购双方是否有能力通过以下方面的整合实现协同效应：
(一)发展战略整合;
(二)组织整合;
(三)资产整合;
(四)业务整合;
(五)人力资源及文化整合。
第十四条 商业银行评估经营及财务风险，包括但不限于分析以下内容：
(一)并购后企业经营的主要风险，如行业发展和市场份额是否能保持稳定或增长趋势,公司治理是否有效，管理团队是否稳定并且具有足够能力，技术是否成熟并能提高企业竞争力，财务管理是否有效等;
(二)并购双方的未来现金流及其稳定程度;
(三)并购股权(或资产)定价高于目标企业股权(或资产)合理估值的风险;
(四)并购双方的分红策略及其对并购贷款还款来源造成的影响;
(五)并购中使用的债务融资工具及其对并购贷款还款来源造成的影响;
(六)汇率和利率等因素变动对并购贷款还款来源造成的影响。
商业银行应当综合考虑上述风险因素，根据并购双方经营和财务状况、并购融资方式和金额等情况，合理测算并购贷款还款来源，审慎确定并购贷款所支持的并购项目的财务杠杆率，确保并购的资金来源中含有合理比例的权益性资金，防范高杠杆并购融资带来的风险。
第十五条 商业银行应在全面分析与并购有关的各项风险的基础上，建立审慎的财务模型，测算并购双方未来财务数据，以及对并购贷款风险有重要影响的关键财务杠杆和偿债能力指标。
第十六条 商业银行应在财务模型测算的基础上，充分考虑各种不利情形对并购贷款风险的影响。 不利情形包括但不限于：
(一)并购双方的经营业绩(包括现金流)在还款期内未能保持稳定或增长趋势;
(二)并购双方的治理结构不健全，管理团队不稳定或不能胜任;
(三)并购后并购方与目标企业未能产生协同效应;
(四)并购方与目标企业存在关联关系，尤其是并购方与目标企业受同一实际控制人控制的情形。
第十七条 商业银行应在全面评估并购贷款风险的基础上，确认并购交易的真实性，综合判断借款人的还款资金来源是否充足，还款来源与还款计划是否匹配，借款人是否能够按照合同约定支付贷款利息和本金等，并提出并购贷款质量下滑时可采取的应对措施或退出策略,形成贷款评审报告。
第三章 风险管理
第十八条 商业银行全部并购贷款余额占同期本行一级资本净额的比例不应超过50%。
第十九条 商业银行应按照本行并购贷款业务发展策略，分别按单一借款人、集团客户、行业类别、国家或地区对并购贷款集中度建立相应的限额控制体系，并向银监会或其派出机构报告。
第二十条 商业银行对单一借款人的并购贷款余额占同期本行一级资本净额的比例不应超过5%。
第二十一条 并购交易价款中并购贷款所占比例不应高于60%。 第二十二条 并购贷款期限一般不超过七年。
第二十三条 商业银行应具有与本行并购贷款业务规模和复杂程度相适应的熟悉并购相关法律、财务、行业等知识的专业人员。
第二十四条 商业银行应在内部组织并购贷款尽职调查和风险评估的专业团队，对本指引第十一条到第十七条的内容进行调查、分析和评估，并形成书面报告。 前款所称专业团队的负责人应有3年以上并购从业经验，成员可包括但不限于并购专家、信贷专家、行业专家、法律专家和财务专家等。
第二十五条 商业银行应在并购贷款业务受理、尽职调查、风险评估、合同签订、贷款发放、贷后管理等主要业务环节以及内部控制体系中加强专业化的管理与控制。
第二十六条 商业银行受理的并购贷款申请应符合以下基本条件：
(一)并购方依法合规经营，信用状况良好，没有信贷违约、逃废银行债务等不良记录;
(二)并购交易合法合规，涉及国家产业政策、行业准入、反垄断、国有资产转让等事项的，应按相关法律法规和政策要求，取得有关方面的批准和履行相关手续;
(三)并购方与目标企业之间具有较高的产业相关度或战略相关性，并购方通过并购能够获得目标企业的研发能力、关键技术与工艺、商标、特许权、供应或分销网络等战略性资源以提高其核心竞争能力。
第二十七条 商业银行可根据并购交易的复杂性、专业性和技术性，聘请中介机构进行有关调查并在风险评估时使用该中介机构的调查报告。
有前款所述情形的，商业银行应建立相应的中介机构管理制度，并通过书面合同明确中介机构的法律责任。
第二十八条 并购方与目标企业存在关联关系的，商业银行应当加强贷前调查，了解和掌握并购交易的经济动机、并购双方整合的可行性、协同效应的可能性等相关情况，核实并购交易的真实性以及并购交易价格的合理性，防范关联企业之间利用虚假并购交易套取银行信贷资金的行为。
第二十九条 商业银行原则上应要求借款人提供充足的能够覆盖并购贷款风险的担保，包括但不限于资产抵押、股权质押、第三方保证，以及符合法律规定的其他形式的担保。以目标企业股权质押时，商业银行应采用更为审慎的方法评估其股权价值和确定质押率。
第三十条 商业银行应根据并购贷款风险评估结果，审慎确定借款合同中贷款金额、期限、利率、分期还款计划、担保方式等基本条款的内容。
第三十一条 商业银行应在借款合同中约定保护贷款人利益的关键条款，包括但不限于：
(一)对借款人或并购后企业重要财务指标的约束性条款;
(二)对借款人特定情形下获得的额外现金流用于提前还款的强制性条款;
(三)对借款人或并购后企业的主要或专用账户的监控条款;
(四)确保贷款人对重大事项知情权或认可权的借款人承诺条款。
第三十二条 商业银行应通过本指引第三十一条所述的关键条款约定在并购双方出现以下情形时可采取的风险控制措施：
(一)重要股东的变化;
(二)经营战略的重大变化;
(三)重大投资项目变化;
(四)营运成本的异常变化;
(五)品牌、客户、市场渠道等的重大不利变化;
(六)产生新的重大债务或对外担保;
(七)重大资产出售;
(八)分红策略的重大变化;
(九)担保人的担保能力或抵质押物发生重大变化;
(十)影响企业持续经营的其他重大事项。
第三十三条 商业银行应在借款合同中约定提款条件以及与贷款支付使用相关的条款，提款条件应至少包括并购方自筹资金已足额到位和并购合规性条件已满足等内容。
商业银行应按照借款合同约定，加强对贷款资金的提款和支付管理，做好资金流向监控，防范关联企业借助虚假并购交易套取贷款资金，确保贷款资金不被挪用。 第三十四条 商业银行应在借款合同中约定，借款人有义务在贷款存续期间定期报送并购双方、担保人的财务报表以及贷款人需要的其他相关资料。 第三十五条 商业银行在贷款存续期间，应加强贷后检查，及时跟踪并购实施情况，定期评估并购双方未来现金流的可预测性和稳定性，定期评估借款人的还款计划与还款来源是否匹配，对并购交易或者并购双方出现异常情况的，及时采取有效措施保障贷款安全。
并购方与目标企业存在关联关系的，商业银行应加大贷后管理力度，特别是应确认并购交易得到实际执行以及并购方对目标企业真正实施整合。
第三十六条 商业银行在贷款存续期间，应密切关注借款合同中关键条款的履行情况。
第三十七条 商业银行应按照不低于其他贷款种类的频率和标准对并购贷款进行风险分类和计提拨备。
第三十八条 并购贷款出现不良时，商业银行应及时采取贷款清收、保全，以及处置抵质押物、依法接管企业经营权等风险控制措施。
第三十九条 商业银行应明确并购贷款业务内部报告的内容、路线和频率，并应至少每年对并购贷款业务的合规性和资产价值变化进行内部检查和独立的内部审计，对其风险状况进行全面评估。当出现并购贷款集中度趋高、贷款风险分类趋降等情形时，商业银行应提高内部报告、检查和评估的频率。
第四十条 商业银行在并购贷款的不良贷款额或不良率上升时应加强对以下内容的报告、检查和评估：
(一)并购贷款担保的方式、构成和覆盖贷款本息的情况;
(二)针对不良贷款所采取的清收和保全措施;
(三)处置质押股权的情况;
(四)依法接管企业经营权的情况;
(五)并购贷款的呆账核销情况。
第四章 附则 第四十一条 商业银行贷款支持已获得目标企业控制权的并购方企业，为维持对目标企业的控制权而受让或者认购目标企业股权的，适用本指引。
第四十二条 政策性银行、外国银行分行和企业集团财务公司开办并购贷款业务的，参照本指引执行。
第四十三条 本指引所称并购双方是指并购方与目标企业。 第四十四条 本指引由中国银监会负责解释。
第四十五条 本指引自印发之日起施行。《中国银监会关于印发<商业银行并购贷款风险管理指引>的通知》(银监发〔2008〕84号)同时废止。
第五篇：商业银行信息科技风险管理指引
第一章 总 则
第一条 为加强商业银行信息科技风险管理，根据《中华人民共和国银行业监督管理法》、《中华人民共和国商业银行法》、《中华人民共和国外资银行管理条例》，以及国家信息安全相关要求和有关法律法规，制定本指引。
第二条 本指引适用于在中华人民共和国境内依法设立的法人商业银行。 政策性银行、农村合作银行、城市信用社、农村信用社、村镇银行、贷款公司、金融资产管理公司、信托公司、财务公司、金融租赁公司、汽车金融公司、货币经纪公司等其他银行业金融机构参照执行。
第三条 本指引所称信息科技是指计算机、通信、微电子和软件工程等现代信息技术，在商业银行业务交易处理、经营管理和内部控制等方面的应用，并包括进行信息科技治理，建立完整的管理组织架构，制订完善的管理制度和流程。 第四条 本指引所称信息科技风险，是指信息科技在商业银行运用过程中，由于自然因素、人为因素、技术漏洞和管理缺陷产生的操作、法律和声誉等风险。 第五条 信息科技风险管理的目标是通过建立有效的机制，实现对商业银行信息科技风险的识别、计量、监测和控制，促进商业银行安全、持续、稳健运行，推动业务创新，提高信息技术使用水平，增强核心竞争力和可持续发展能力。 第二章
第六条 商业银行法定代表人是本机构信息科技风险管理的第一责任人，负责组
第七条 商业银行的董事会应履行以下信息科技管理职责：
(一) 遵守并贯彻执行国家有关信息科技管理的法律、法规和技术标准，落实
(二) 审查批准信息科技战略，确保其与银行的总体业务战略和重大策略相一致。评估信息科技及其风险管理工作的总体效果和效率。
(三) 掌握主要的信息科技风险，确定可接受的风险级别，确保相关风险能够被识别、计量、监测和控制。
(四) 规范职业道德行为和廉洁标准，增强内部文化建设，提高全体人员对信息科技风险管理重要性的认识。
(五) 设立一个由来自高级管理层、信息科技部门和主要业务部门的代表组成的专门信息科技管理委员会，负责监督各项职责的落实，定期向董事会和高级管理层汇报信息科技战略规划的执行、信息科技预算和实际支出、信息科技的整体状况。
(六) 在建立良好的公司治理的基础上进行信息科技治理，形成分工合理、职责明确、相互制衡、报告关系清晰的信息科技治理组织结构。加强信息科技专业队伍的建设，建立人
(七) 确保内部审计部门进行独立有效的信息科技风险管理审计，对审计报告
(八) 每年审阅并向银监会及其派出机构报送信息科技风险管理的报告。
(九) 确保信息科技风险管理工作所需资金。
(十) 确保银行所有员工充分理解和遵守经其批准的信息科技风险管理制度和流程，并安排相关培训。
(十一) 确保本法人机构涉及客户信息、账务信息以及产品信息等的核心系统在中国境内独立运行，并保持最高的管理权限，符合银监会监管和实施现场检
(十二) 及时向银监会及其派出机构报告本机构发生的重大信息科技事故或突发事件，按相关预案快速响应。
(十三) 配合银监会及其派出机构做好信息科技风险监督检查工作，并按照监管意见进行整改。
(十四) 履行信息科技风险管理其他相关工作。
第八条 商业银行应设立首席信息官，直接向行长汇报，并参与决策。首席信息
(一)
(二) 确保信息科技战略，尤其是信息系统开发战略，符合本银行的总体业务
(三) 负责建立一个切实有效的信息科技部门，承担本银行的信息科技职责。确保其履行：信息科技 预算和支出、信息科技策略、标准和流程、信息科技内部控制、专业化研发、信息科技项目发起和管理、信息系统和信息科技基础设施的运行、维护和升级、信息安全管理、灾难恢复计划、信息科技外包和信息系统退出等职责。
(四) 确保信息科技风险管理的有效性，并使有关管理措施落实到相关的每一
(五) 组织专业培训，提高人才队伍的专业技能。
(六) 履行信息科技风险管理其他相关工作。
第九条 商业银行应对信息科技部门内部管理职责进行明确的界定;各岗位的人员应具有相应的专业知识和技能，重要岗位应制定详细完整的工作手册并适时更新。对相关人员应采取下列风险防范措施：
(一) 验证个人信息，包括核验有效身份证件、学历证明、工作经历和专业资
(二)
(三) 确保员工了解、遵守信息科技策略、指导原则、信息保密、授权使用信息系统、信息科技管理制度和流程等要求，并同员工签订相关协议。
(四) 评估关键岗位信息科技员工流失带来的风险，做好安排候补员工和岗位
第十条 商业银行应设立或指派一个特定部门负责信息科技风险管理工作，并直接向首席信息官或首席风险官(风险管理委员会)报告工作。该部门应为信息科技突发事件应急响应小组的成员之一，负责协调制定有关信息科技风险管理策略，尤其是在涉及信息安全、业务连续性计划和合规性风险等方面，为业务部门和信息科技部门提供建议及相关合规性信息，实施持续信息科技风险评估，跟踪整改意见的落实，监控信息安全威胁和不合规事件的发生。
第十一条 商业银行应在内部审计部门设立专门的信息科技风险审计岗位，负责信息科技审计制度和流程的实施，制订和执行信息科技审计计划，对信息科技
第十二条 商业银行应按照知识产权相关法律法规，制定本机构信息科技知识产权保护策略和制度，并使所有员工充分理解并遵照执行。确保购买和使用合法的软硬件产品，禁止侵权盗版;采取有效措施保护本机构自主知识产权。 第十三条 商业银行应依据有关法律法规的要求，规范和及时披露信息科技风险
第三章
第十四条 商业银行应制定符合银行总体业务规划的信息科技战略、信息科技运行计划和信息科技风险评估计划，确保配臵足够人力、财力资源，维持稳定、安全的信息科技环境。第十五条 商业银行应制定全面的信息科技风险管理策略，包括但不限于下述领域：
(一) 信息分级与保护。
(二) 信息系统开发、测试和维护。
(三) 信息科技运行和维护。
(四) 访问控制。
(五) 物理安全。
(六) 人员安全。
(七) 业务连续性计划与应急处臵。
第十六条 商业银行应制定持续的风险识别和评估流程，确定信息科技中存在隐患的区域，评价风险对其业务的潜在影响，对风险进行排序，并确定风险防范措施及所需资源的优先级别(包括外包供应商、产品供应商和服务商)。 第十七条 商业银行应依据信息科技风险管理策略和风险评估结果，实施全面的风险防范措施。防范措施应包括：
(一) 制定明确的信息科技风险管理制度、技术标准和操作规程等，定期进行
(二) 确定潜在风险区域，并对这些区域进行详细和独立的监控，实现风险最小化。建立适当的控制框架，以便于检查和平衡风险;定义每个业务级别的控制内容，包括：
1. 最高权限用户的审查。
2. 控制对数据和系统的物理和逻辑访问。
3. 访问授权以“必需知道”和“最小授权”为原则。 4. 5. 第十八条 商业银行应建立持续的信息科技风险计量和监测机制，其中应包括：
(一) 建立信息科技项目实施前及实施后的评价机制。
(二) 建立定期检查系统性能的程序和标准。
(三) 建立信息科技服务投诉和事故处理的报告机制。
(四) 建立内部审计、外部审计和监管发现问题的整改处理机制。
(五)
(六) 定期评估新技术发展可能造成的影响和已使用软件面临的新威胁。
(七) 定期进行运行环境下操作风险和管理控制的检查。
(八) 定期进行信息科技外包项目的风险状况评价。
第十九条 中资商业银行在境外设立的机构及境内的外资商业银行，应当遵守境内外监管机构关于信息科技风险管理的要求，并防范因监管差异所造成的风险。第四章 信息安全
第二十条 商业银行信息科技部门负责 建立和实施信息分类和保护体系，商业银行应使所有员工都了解信息安全的重要性，并组织提供必要的培训，让员工充分了解其职责范围内的信息保护流程。
第二十一条 商业银行信息科技部门应落实信息安全管理职能。该职能应包括建立信息安全计划和保持长效的管理机制，提高全体员工信息安全意识，就安全问题向其他部门提供建议，并定期向信息科技管理委员会提交本银行信息安全评估报告。信息安全管理机制应包括信息安全标准、策略、实施计划和持续维护计划。
(一)
(二)
(三)
(四)
(五)
(六)
(七)
(八)
(九)
(十)
(十一)
第二十二条 商业银行应建立有效管理用户认证和访问控制的流程。用户对数据和系统的访问必须选择与信息访问级别相匹配的认证机制，并且确保其在信息系统内的活动只限于相关业务能合法开展所要求的最低限度。用户调动到新的
第二十三条 商业银行应确保设立物理安全保护区域，包括计算机中心或数据中心、存储机密信息或放臵网络设备等重要信息科技设备的区域，明确相应的职
第二十四条 商业银行应根据信息安全级别，将网络划分为不同的逻辑安全域(以下简称为域)。应该对下列安全因素进行评估，并根据安全级别定义和评估结果实施有效的安全控制，如对每个域和整个网络进行物理或逻辑分区、实现网络内容过滤、逻辑访问控制、传输加密、网络监控、记录活动日志等。
(一)
(二)
(三)
(四)
(五) 域的性质，如生产域或测试域、内部域或外部域。
(六)
(七)
第二十五条 商业银行应通过以下措施，确保所有计算机操作系统和系统软件的安全：
(一) 制定每种类型操作系统的基本安全要求，确保所有系统满足基本安全要
(二) 明确定义包括终端用户、系统开发人员、系统测试人员、计算机操作人
(三) 制定最高权限系统账户的审批、验证和监控流程，并确保最高权限用户
(四)
(五) 在系统日志中记录不成功的登录、重要系统文件的访问、对用户账户的修改等有关重要事项，手动或自动监控系统出现的任何异常事件，定期汇报监控
第二十六条
(一) 明确定义终端用户和信息科技技术人员在信息系统安全中的角色和职
(二)
(三) 加强职责划分，对关键或敏感岗位进行双重控制。
(四)
(五) 采取安全的方式处理保密信息的输入和输出，防止信息泄露或被盗取、
(六) 确保系统按预先定义的方式处理例外情况，当系统被迫终止时向用户提
(七) 以书面或电子格式
(八)
第二十七条 商业银行应制定相关策略和流程，管理所有生产系统的活动日志，以支持有效的审核、安全取证分析和预防欺诈。日志可以在软件的不同层次、
(一) 交易日志。交易日志由应用软件和数据库管理系统产生，内容包括用户登录尝试、数据修改、错误信息等。交易日志应按照国家会计准则要求予以保
(二) 系统日志。系统日志由操作系统、数据库管理系统、防火墙、入侵检测系统和路由器等生成，内容包括管理登录尝试、系统事件、网络事件、错误信息等。系统日志保存期限按系统的风险等级确定，但不能少于一年。 商业银行应保证交易日志和系统日志中包含足够的内容，以便完成有效的内部控制、解决系统故障和满足审计需要;应采取适当措施保证所有日志同步计时，并确保其完整性。在例外情况发生后应及时复查系统日志。交易日志或系统日志的复查频率和保存周期应由信息科技部门和有关业务部门共同决定，并报信
第二十八条 商业银行应采取加密技术，防范涉密信息在传输、处理、存储过程中出现泄露或被篡改的风险，并建立密
(一)
(二) 管理、使用密码设备的员工经过专业培训和严格审查。
(三)
(四)
第二十九条 商业银行应配备切实有效的系统，确保所有终端用户设备的安全，并定期对所有设备进行安全检查，包括台式个人计算机(PC)、便携式计算机、柜员终端、自动柜员机(ATM)、存折打印机、读卡器、销售终端(POS)和个人数字助理(PDA
第三十条 商业银行应制定相关制度和流程，严格管理客户信息的采集、处理、存贮、传输、分发、备份、恢复、清理和销毁。
第三十一条 商业银行应对所有员工进行必要的培训，使其充分掌握信息科技风险管理制度和流程，了解违反规定的后果，并对违反安全规定的行为采取零容忍政策。第五章
第三十二条 商业银行应有能力对信息系统进行需求分析、规划、采购、开发、测试、部署、维护、升级和报废，制定制度和流程，管理信息科技项目的优先排序、立项、审批和控制。项目实施部门应定期向信息科技管理委员会提交重大信息科技项目的进度报告，由其进行审核，进度报告应当包括计划的重大变更、关键人员或供应商的变更以及主要费用支出情况。应在信息系统投产后一定时期内，组织对系统的后评价，并根据评价结果及时对系统功能进行调整和优化。
第三十三条 商业银行应认识到信息科技项目相关的风险，包括潜在的各种操作风险、财务损失风险和因无效项目规划或不适当的项目管理控制产生的机会成
第三十四条 商业银行应采取适当的系统开发方法，控制信息系统的生命周期。典型的系统生命周期包括系统分析、设计、开发或外购、测试、试运行、部署、维护和退出。所采用的系统开发方法应符合信息科技项目的规模、性质和复杂
第三十五条 商业银行应制定相关控制信息系统变更的制度和流程，确保系统的
(一)
(二) 生产系统与开发系统、测试系统的管理职能相分离。
(三) 除得到管理层批准执行紧急修复任务外，禁止应用程序开发和维护人员
(四) 将完成开发和测试环境的程序或系统配臵变更应用到生产系统时，应得到信息科技部门和业务部门的联合批准，并对变更进行及时记录和定期复查。
第三十六条 商业银行应制定并落实相关制度、标准和流程，确保信息系统开发、
第三十七条 商业银行应建立并完善有效的问题管理流程，以确保全面地追踪、分析和解决信息系统问题，并对问题进行记录、分类和索引;如需供应商提供支持服务或技术援助，应向相关人员提供所需的合同和相关信息，并将过程记录在案;对完成紧急恢复起至关重要作用的任务和指令集，应有清晰的描述和
第三十八条 商业银行应制定相关制度和流程，控制系统升级过程。当设备达到预期使用寿命或性能不能满足业务需求，基础软件(操作系统、数据库管理系统、中间件)或应用软件必须升级时，应及时进行系统升级，并将该类升级活
第六章
第三十九条 商业银行在选择数据中心的地理位臵时，应充分考虑环境威胁(如是否接近自然灾害多发区、危险或有害设施、繁忙或主要公路)，采取物理控制措施，监控对信息处理设备运行构成威胁的环境状况，并防止因意外断电或供电干扰影响数据中
第四十条 商业银行应严格控制第三方人员(如服务供应商)进入安全区域，如确需进入应得到适当的批准，其活动也应受到监控;针对长期或临时聘用的技术人员和承包商，尤其是从事敏感性技术相关工作的人员，应制定严格的审查
第四十一条 商业银行应将信息科技运行与系统开发和维护分离，确保信息科技
第四十二条 商业银行应按照有关法律法规要求保存交易记录，采取必要的程序和技术，确保存档数据的完整性，满足安全保存和可恢复要求
第四十三条 商业银行应制定详尽的信息科技运行操作说明。如在信息科技运行手册中说明计算机操作人员的任务、工作日程、执行步骤，以及生产与开发环境中数据、软件的现场及非现场备份流程和要求(即备份的频率、范围和保留
第四十四条 商业银行应建立事故管理及处臵机制，及时响应信息系统运行事故，逐级向相关的信息科技管理人员报告事故的发生，并进行记录、分析和跟踪，直到完成彻底的处臵和根本原因分析。商业银行应建立服务台，为用户提供相关技术问题的在线支持，并将问题提交给相关信息科技部门进行调查和解决。
第四十五条 商业银行应建立服务水平管理相关的制度和流程，对信息科技运行
第四十六条 商业银行应建立连续监控信息系统性能的相关程序，及时、完整地报告例外情况;该程序应提供预警功能，在例外情况对系统性能造成影响前对
第四十七条 商业银行应制定容量规划，以适应由于外部环境变化产生的业务发
第四十八条 商业银行应及时进行维护和适当的系统升级，以确保与技术相关服务的连续可用性，并完整保存记录(包括疑似和实际的故障、预防性和补救性
第四十九条 商业银行应制定有效的变更管理流程，以确保生产环境的完整性和可靠性。包括紧急变更在内的所有变更都应记入日志，由信息科技部门和业务部门共同审核签字，并事先进行备份,以便必要时可以恢复原来的系统版本和数据文件。紧急变更成功后,应通过正常的验收测试和变更管理流程,采用恰当的
第七章
第五十条 商业银行应根据自身业务的性质、规模和复杂程度制定适当的业务连续性规划，以确保在出现无法预见的中断时，系统仍能持续运行并提供服务;
第五十一条 商业银行应评估因意外事件导致其业务运行中断的可能性及其影
(一) 内外部资源的故障或缺失(如人员、系统或其他资产)。
(二)
(三)
第五十二条 商业银行应采取系统恢复和双机热备处理等措施降低业务中断的
第五十三条 商业银行应建立维持其运营连续性策略的文档，并制定对策略的充分性和有效性进行检查和沟通的计划。其中包括：
(一)规范的业务连续性计划,明确降低短期、中期和长期中断所造成影响的措施，包括但不限于:
1.资源需求(如人员、系统和其他资产)以及获取资源的方式。
23.与内部各部门及外部相关各方(尤其是监管机构、客户和媒体等)的沟通安
(四)当商业银行的业务或风险状况发生变化时，对本条
(一)到
(三)进行
第五十四条 商业银行的业务连续性计划和应急演练结果应由信息科技风险管理部门或信息科技管理委员会确认。 第八章 外
第五十五条 商业银行不得将其信息科技管理责任外包，应合理谨慎监督外包职
第五十六条 商业银行实施重要外包(如数据中心和信息科技基础设施等)应格外谨慎，在准备实施重要外包时应以书面材料正式报告银监会或其派出机构。
第五十七条 商业银行在签署外包协议或对外包协议进行重大变更前，应做好相
(一) 分析外包是否适合商业银行的组织结构和报告路线、业务战略、总体风
(二)
(三) 充分审查、评估外包服务商的财务稳定性和专业经验，对外包服务商进
(四) 考虑外包协议变更前后实施的平稳过渡(包括终止合同可能发生的情
(五) 关注可能存在的集中风险，如多家商业银行共用同一外包服务商带来的
第五十八条 商业银行在与外包服务商合同谈判过程中，应考虑的因素包括但不
(一)
(二) 银行业
(三) 通过界定信息所有权、签署保密协议和采取技术防护措施保护客户信息
(四)
(五) 外包服务商遵守商业银行有关信息科技风险制度和流程的意愿及相关措
(六) 外包服务商提供的业务连续性保障水平，以及提供相关专属资源的承诺。
(七)
(八) 变更外包协议的流程，以及商业银行或外包服务商选择变更或终止外包
1. 商业银行或外包服务商的所2. 3.
第五十九条 商业银行在实施双方关系管理，以及起草服务水平协议时，应考虑
(一) 提出定性和定量的绩效指标，评估外包服务商为商业银行及其相关客户
(二) 通过服务水平报告、定期自我评估、内部或外部独立审计进行绩效考核。
(三) 针对绩效不达标的情况调整流程，采取整改措施。
第六十条 商业银行应加强信息科技相关外包管理工作，确保商业银行的客户资
(一)
(二)
(三)
(四)
(五) 严格控制外包服务商再次对外转包，采取足够措施确保商业银行相关信
(六)
第六十一条 商业银行应建立恰当的应急措施，应对外包服务商在服务中可能出现的重大缺失。尤其需要考虑外包服务商的重大资源损失，重大财务损失和重
第六十二条 商业银行所有信息科技外包合同应由信息科技风险管理部门、法律部门和信息科技管理委员会审核通过。商业银行应设立流程定期审阅和修订服
第九章 内部审计
第六十三条 商业银行内部审计部门应根据业务的性质、规模和复杂程度，对相关系统及其控制的适当性和有效性进行监测。内部审计部门应配备足够的资源和具有专业能力的信息科技审计人员，独立于本银行的日常活动，具有适当的
第六十四条
(一) 制定、实施和调整审计计划，检查和评估商业银行信息科技系统和内控
(二)
(三)
(四) 执行信息科技专项审计。信息科技专项审计，是指对信息科技安全事故进行的调查、分析和评估，或审计部门根据风险评估结果对认为必要的特殊事
第六十五条 商业银行应根据业务性质、规模和复杂程度，信息科技应用情况，以及信息科技风险评估结果，决定信息科技内部审计范围和频率。但至少应每
第六十六条 商业银行在进行大规模系统开发时，应要求信息科技风险管理部门
第十章
第六十七条 商业银行可以在符合法律、法规和监管要求的情况下，委托具备相
第六十八条 在委托审计过程中，商业银行应确保外部审计机构能够对本银行的硬件、软件、文档和数据进行检查，以发现信息科技存在的风险，国家法律、
第六十九条 商业银行在实施外部审计前应与外部审计机构进行充分沟通，详细
第七十条 银监会及其派出机构必要时可指定具备相应资质的外部审计机构对商业银行执行信息科技审计或相关检查。外部审计机构根据银监会或其派出机构的委托或授权对商业银行进行审计时，应出示委托授权书，并依照委托授权
第七十一条 外部审计机构根据授权出具的审计报告，经银监会及其派出机构审阅批准后具有与银监会及其派出机构出具的检查报告同等的效力，被审计的商
第七十二条 商业银行在委托外部审计机构进行外部审计时，应与其签订保密协议，并督促其严格遵守法律法规，保守本银行的商业秘密和信息科技风险信息，
第十一章 附
第七十三条 未设董事会的商业银行，应当由其经营决策机构履行本指 商业银行信息科技风险管理指引 第一章 总 则
第一条 为加强商业银行信息科技风险管理，根据《中华人民共和国银行业监督管理法》、《中华人民共和国商业银行法》、《中华人民共和国外资银行管理条例》，
第二条
政策性银行、农村合作银行、城市信用社、农村信用社、村镇银行、贷款公司、金融资产管理公司、信托公司、财务公司、金融租赁公司、汽车金融公司、货
第三条 本指引所称信息科技是指计算机、通信、微电子和软件工程等现代信息技术，在商业银行业务交易处理、经营管理和内部控制等方面的应用，并包括进行信息科技治理，建立完整的管理组织架构，制订完善的管理制度和流程。
第四条 本指引所称信息科技风险，是指信息科技在商业银行运用过程中，由于自然因素、人为因素、技术漏洞和管理缺陷产生的操作、法律和声誉等风险。 第五条 信息科技风险管理的目标是通过建立有效的机制，实现对商业银行信息科技风险的识别、计量、监测和控制，促进商业银行安全、持续、稳健运行，推动业务创新，提高信息技术使用水平，增强核心竞争力和可持续发展能力。 第二章
第六条 商业银行法定代表人是本机构信息科技风险管理的第一责任人，负责组
第七条 商业银行的董事会应履行以下信息科技管理职责：
(一) 遵守并贯彻执行国家有关信息科技管理的法律、法规和技术标准，落实
(二) 审查批准信息科技战略，确保其与银行的总体业务战略和重大策略相一
(三) 掌握主要的信息科技风险，确定可接受的风险级别，确保相关风险能够
(四) 规范职业道德行为和廉洁标准，增强内部文化建设，提高全体人员对信
(五) 设立一个由来自高级管理层、信息科技部门和主要业务部门的代表组成的专门信息科技管理委员会，负责监督各项职责的落实，定期向董事会和高级管理层汇报信息科技战略规划的执行、信息科技预算和实际支出、信息科技的
(六) 在建立良好的公司治理的基础上进行信息科技治理，形成分工合理、职责明确、相互制衡、报告关系清晰的信息科技治理组织结构。加强信息科技专
(七) 确保内部审计部门进行独立有效的信息科技风险管理审计，对审计报告
(八) 每年审阅并向银监会及其派出机构报送信息科技风险管理的报告。
(九)
(十) 确保银行所有员工充分理解和遵守经其批准的信息科技风险管理制度和
(十一) 确保本法人机构涉及客户信息、账务信息以及产品信息等的核心系统在中国境内独立运行，并保持最高的管理权限，符合银监会监管和实施现场检查的要求，防范跨境
(十二) 及时向银监会及其派出机构报告本机构发生的重大信息科技事故或突
(十三) 配合银监会及其派出机构做好信息科技风险监督检查工作，并按照监
(十四)
第八条 商业银行应设立首席信息官，直接向行长汇报，并参与决策。首席信息
(一)
(二) 确保信息科技战略，尤其是信息系统开发战略，符合本银行的总体业务
(三) 负责建立一个切实有效的信息科技部门，承担本银行的信息科技职责。确保其履行：信息科技预算和支出、信息科技策略、标准和流程、信息科技内部控制、专业化研发、信息科技项目发起和管理、信息系统和信息科技基础设施的运行、维护和升级、信息安全管理、灾难恢复计划、信息科技外包和信息
(四) 确保信息科技风险管理的有效性，并使有关管理措施落实到相关的每一
(五)
(六)
第九条 商业银行应对信息科技部门内部管理职责进行明确的界定;各岗位的人员应具有相应的专业知识和技能，重要岗位应制定详细完整的工作手册并适时
(一) 验证个人信息，包括核验有效身份证件、学历证明、工作经历和专业资
(二)
(三) 确保员工了解、遵守信息科技策略、指导原则、信息保密、授权使用信
(四) 评估关键岗位信息科技员工流失带来的风险，做好安排候补员工和岗位接替计划等
第十条 商业银行应设立或指派一个特定部门负责信息科技风险管理工作，并直接向首席信息官或首席风险官(风险管理委员会)报告工作。该部门应为信息科技突发事件应急响应小组的成员之一，负责协调制定有关信息科技风险管理策略，尤其是在涉及信息安全、业务连续性计划和合规性风险等方面，为业务部门和信息科技部门提供建议及相关合规性信息，实施持续信息科技风险评估，
第十一条 商业银行应在内部审计部门设立专门的信息科技风险审计岗位，负责信息科技审计制度和流程的实施，制订和执行信息科技审计计划，对信息科技
第十二条 商业银行应按照知识产权相关法律法规，制定本机构信息科技知识产权保护策略和制度，并使所有员工充分理解并遵照执行。确保购买和使用合法
第十三条 商业银行应依据有关法律法规的要求，规范和及时披露信息科技风险
第三章
第十四条 商业银行应制定符合银行总体业务规划的信息科技战略、信息科技运行计划和信息科技风险评估计划，确保配臵足够人力、财力资源，维持稳定、安全的信息科技环境。
第十五条 商业银行应制定全面的信息科技风险管理策略，包括但不限于下述领
(一)
(二)
(三)
(四)
(五)
(六)
(七)
第十六条 商业银行应制定持续的风险识别和评估流程，确定信息科技中存在隐患的区域，评价风险对其业务的潜在影响，对风险进行排序，并确定风险防范措施及所
第十七条 商业银行应依据信息科技风险管理策略和风险评估结果，实施全面的
(一) 制定明确的信息科技风险管理制度、技术标准和操作规程等，定期进行
(二) 确定潜在风险区域，并对这些区域进行详细和独立的监控，实现风险最小化。建立适当的控制框架，以便于检查和平衡风险;定义每个业务级别的控
1. 2. 3. 访问授权以“必需知道”和“4. 5.
第十八条 商业银行应建立持续的信息科技风险计量和监测机制，其中应包括：
(一)
(二)
(三)
(四)
(五)
(六)
(七) 定期进行运行环境下操作风险和管理控制的检查。
(八)
第十九条 中资商业银行在境外设立的机构及境内的外资商业银行，应当遵守境内外监管机构关于信息科技风险管理的要求，并防范因监管差异所造成的风险。 第四章
第二十条 商业银行信息科技部门负责建立和实施信息分类和保护体系，商业银行应使所有员工都了解信息安全的重要性，并组织提供必要的培训，让员工充分了解其职责范围内的信息保护流程。
第二十一条 商业银行信息科技部门应落实信息安全管理职能。该职能应包括建立信息安全计划和保持长效的管理机制，提高全体员工信息安全意识，就安全问题向其他部门提供建议，并定期向信息科技管理委员会提交本银行信息安全评估报告。信息安全管理机制应包括信息安全标准、策略、实施计划和持续维
(一)
(二)
(三)
(四)
(五)
(六)
(七)
(八)
(九)
(十) 业务连续性管
(十一)
第二十二条 商业银行应建立有效管理用户认证和访问控制的流程。用户对数据和系统的访问必须选择与信息访问级别相匹配的认证机制，并且确保其在信息系统内的活动只限于相关业务能合法开展所要求的最低限度。用户调动到新的
第二十三条 商业银行应确保设立物理安全保护区域，包括计算机中心或数据中心、存储机密信息或放臵网络设备等重要信息科技设备的区域，明确相应的职
第二十四条 商业银行应根据信息安全级别，将网络划分为不同的逻辑安全域(以下简称为域)。应该对下列安全因素进行评估，并根据安全级别定义和评估结果实施有效的安全控制，如对每个域和整个网络进行物理或逻辑分区、实现
(一)
(二)
(三)
(四)
(五) 域的性质，如生产域或测试域、内部域或外部域。
(六)
(七)
第二十五条 商业银行应通过以下措施，确保所有计算机操作系统和系统软件的
(一) 制定每种类型操作系统的基本安全要求，确保所有系统满足基本安全要
(二) 明确定义包括终端用户、系统开发人员、系统测试人员、计算机操作人
(三) 制定最高权限系统账户的审批、验证和监控流程，并确保最高权限用户
(四)
(五) 在系统日志中记录不成功的登录、重要系统文件的访问、对用户账户的修改等有关重要事项，手动或自动监控系统出现的任何异常事件，定期汇报监
第二十六条
(一) 明确定义终端用户和信息科技技术人员在信息系统安全中的角色和职
(二)
(三) 加强职责划分，对关键或敏感岗位进行双重控制。
(四)
(五) 采取安全的方式处理保密信息的输入和输出，防止信息泄露或被盗取、
(六) 确保系统按预先定义的方式处理例外情况，当系统被迫终止时向用户提
(七)
(八)
第二十七条 商业银行应制定相关策略和流程，管理所有生产系统的活动日志，以支持有效的审核、安全取证分析和预防欺诈。日志可以在软件的不同层次、
(一) 交易日志。交易日志由应用软件和数据库管理系统产生，内容包括用户登录尝试、数据修改、错误信息等。交易日志应按照国家会计准则要求予以保
(二) 系统日志。系统日志由操作系统、数据库管理系统、防火墙、入侵检测系统和路由器等生成，内容包括管理登录尝试、系统事件、网络事件、错误信
商业银行应保证交易日志和系统日志中包含足够的内容，以便完成有效的内部控制、解决系统故障和满足审计需要;应采取适当措施保证所有日志同步计时，并确保其完整性。在例外情况发生后应及时复查系统日志。交易日志或系统日志的复查频率和保存周期应由信息科技部门和有关业务部门共同决定，并报信
第二十八条 商业银行应采取加密技术，防范涉密信息在传输、处理、存储过程
(一)
(二) 管理、使用密码设备的员工经过专业培训和严格审查。
(三)
(四)
第二十九条 商业银行应配备切实有效的系统，确保所有终端用户设备的安全，并定期对所有设备进行安全检查，包括台式个人计算机(PC)、便携式计算机、柜员终端、自动柜员机(ATM)、存折打印机、读卡器、销售终端(POS)和个人数字助理(PDA
第三十条 商业银行应制定相关制度和流程，严格管理客户信息的采集、处理、存贮、传输、分发、备份、恢复、清理和销毁。
第三十一条 商业银行应对所有员工进行必要的培训，使其充分掌握信息科技风险管理制度和流程，了解违反规定的后果，并对违反安全规定的行为采取零容
第五章
第三十二条 商业银行应有能力对信息系统进行需求分析、规划、采购、开发、测试、部署、维护、升级和报废，制定制度和流程，管理信息科技项目的优先排序、立项、审批和控制。项目实施部门应定期向信息科技管理委员会提交重大信息科技项目的进度报告，由其进行审核，进度报告应当包括计划的重大变更、关键人员或供应商的变更以及主要费用支出情况。应在信息系统投产后一定时期内，组织对系统的后评价，并根据评价结果及时对系统功能进行调整和优化。第三十三条 商业银行应认识到信息科技项目相关的风险，包括潜在的各种操作风险、财务损失风险和因无效项目规划或不适当的项目管理控制产生的
第三十四条 商业银行应采取适当的系统开发方法，控制信息系统的生命周期。典型的系统生命周期包括系统分析、设计、开发或外购、测试、试运行、部署、维护和退出。所采用的系统开发方法应符合信息科技项目的规模、性质和复杂
第三十五条 商业银行应制定相关控制信息系统变更的制度和流程，确保系统的
(一)
(二) 生产系统与开发系统、测试系统的管理职能相分离。
(三) 除得到管理层批准执行紧急修复任务外，禁止应用程序开发和维护人员进入生产系统，且所有
(四) 将完成开发和测试环境的程序或系统配臵变更应用到生产系统时，应得到信息科技部门和业务部门的联合批准，并对变更进行及时记录和定期复查。
第三十六条 商业银行应制定并落实相关制度、标准和流程，确保信息系统开发、
第三十七条 商业银行应建立并完善有效的问题管理流程，以确保全面地追踪、分析和解决信息系统问题，并对问题进行记录、分类和索引;如需供应商提供支持服务或技术援助，应向相关人员提供所需的合同和相关信息，并将过程记录在案;对完成紧急恢复起至关重要作用的任务和指令集，应有清晰的描述和
第三十八条 商业银行应制定相关制度和流程，控制系统升级过程。当设备达到预期使用寿命或性能不能满足业务需求，基础软件(操作系统、数据库管理系统、中间件)或应用软件必须升级时，应及时进行系统升级，并将该类升级活
第六章
第三十九条 商业银行在选择数据中心的地理位臵时，应充分考虑环境威胁(如是否接近自然灾害多发区、危险或有害设施、繁忙或主要公路)，采取物理控制措施，监控对信息处理设备运行构成威胁的环境状况，并防止因意外断电或供
第四十条 商业银行应严格控制第三方人员(如服务供应商)进入安全区域，如确需进入应得到适当的批准，其活动也应受到监控;针对长期或临时聘用的技术人员和承包商，尤其是从事敏感性技术相关工作的人员，应制定严格的审查
第四十一条 商业银行应将信息科技运行与系统开发和维护分离，确保信息科技
第四十二条 商业银行应按照有关法律法规要求保存交易记录，采取必要的程序
第四十三条 商业银行应制定详尽的信息科技运行操作说明。如在信息科技运行手册中说明计算机操作人员的任务、工作日程、执行步骤，以及生产与开发环境中数据、软件的现场及非现场备份流程和要求(即备份的频率、范围和保留
第四十四条 商业银行应建立事故管理及处臵机制，及时响应信息系统运行事故，逐级向相关的信息科技管理人员报告事故的发生，并进行记录、分析和跟踪，直到完成彻底的处臵和根本原因分析。商业银行应建立服务台，为用户提供相关技术问题的在线支持，并将问题提交给相关信息科技部门进行调查和解决。
第四十五条 商业银行应建立服务水平管理相关的制度和流程，对信息科技运行
第四十六条 商业银行应建立连续监控信息系统性能的相关程序，及时、完整地报告例外情况;该程序应提供预警功能，在例外情况对系统性能造成影响前对
第四十七条 商业银行应制定容量规划，以适应由于外部环境变化产生的业务发
第四十八条 商业银行应及时进行维护和适当的系统升级，以确保与技术相关服务的连续可用性，并完整保存记录(包括疑似和实际的故障、预防性和补救性
第四十九条 商业银行应制定有效的变更管理流程，以确保生产环境的完整性和可靠性。包括紧急变更在内的所有变更都应记入日志，由信息科技部门和业务部门共同审核签字，并事先进行备份,以便必要时可以恢复原来的系统版本和数据文件。紧急变更成功后,应通过正常的验收测试和变更管理流程,采用恰当的
第七章
第五十条 商业银行应根据自身业务的性质、规模和复杂程度制定适当的业务连续性规划，以确保在出现无法预见的中断时，系统仍能持续运行并提供服务;
第五十一条 商业银行应评估因意外事件导致其业务运行中断的可能性及其影
(一) 内外部资源的故障或缺失(如人员、系统或其他资产)。
(二)
(三)
第五十二条 商业银行应采取系统恢复和双机热备处理等措施降低业务中断的
第五十三条 商业银行应建立维持其运营连续性策略的文档，并制定对策略的充分性和有效性进行检查和沟通的计划。其中包括：
(一)规范的业务连续性计划,明确降低短期、中期和长期中断所造成影响的措施，包括但不限于:
1.资源需求(如人员、系统和其他资产)以及获取资源的方式。
23.与内部各部门及外部相关各方(尤其是监管机构、客户和媒体等)的沟通安
(四)当商业银行的业务或风险状况发生变化时，对本条
(一)到
(三)进行
第五十四条 商业银行的业务连续性计划和应急演练结果应由信息科技风险管理部门或信息科技管理委员会确认。 第八章 外
第五十五条 商业银行不得将其信息科技管理责任外包，应合理谨慎监督外包职
第五十六条 商业银行实施重要外包(如数据中心和信息科技基础设施等)应格外谨慎，在准备实施重要外包时应以书面材料正式报告银监会或其派出机构。
第五十七条 商业银行在签署外包协议或对外包协议进行重大变更前，应做好相
(一) 分析外包是否适合商业银行的组织结构和报告路线、业务战略、总体风
(二)
(三) 充分审查、评估外包服务商的财务稳定性和专业经验，对外包服务商进
(四) 考虑外包协议变更前后实施的平稳过渡(包括终止合同可能发生的情
(五) 关注可能存在的集中风险，如多家商业银行共用同一外包服务商带来的
第五十八条 商业银行在与外包服务商合同谈判过程中，应考虑的因素包括但不
(一)
(二)
(三) 通过界定信息所有权、签署保密协议和采取技术防护措施保护客户信息
(四)
(五) 外包服务商遵守商业银行有关信息科技风险制度和流程的意愿及相关措
(六) 外包服务商提供的业务连续性保障水平，以及提供相关专属资源的承诺。
(七)
(八) 变更外包协议的流程，以及商业银行或外包服务商选择变更或终止外包
1. 2. 3.
第五十九条 商业银行在实施双方关系管理，以及起草服务水平协议时，应考虑
(一) 提出定性和定量的绩效指标，评估外包服务商为商业银行及其相关客户
(二) 通过服务水平报告、定期自我评估、内部或外部独立审计进行绩效考核。
(三) 针对绩效不达标的情况调整流程，采取整改措施。
第六十条 商业银行应加强信息科技相关外包管理工作，确保商业银行的客户资
(一)
(二)
(三)
(四)
(五) 严格控制外包服务商再次对外转包，采取足够措施确保商业银行相关信息
(六)
第六十一条 商业银行应建立恰当的应急措施，应对外包服务商在服务中可能出现的重大缺失。尤其需要考虑外包服务商的重大资源损失，重大财务损失和重
第六十二条 商业银行所有信息科技外包合同应由信息科技风险管理部门、法律部门和信息科技管理委员会审核通过。商业银行应设立流程定期审阅和修订服
第九章
第六十三条 商业银行内部审计部门应根据业务的性质、规模和复杂程度，对相关系统及其控制的适当性和有效性进行监测。内部审计部门应配备足够的资源和具有专业能力的信息科技审计人员，独立于本银行的日常活动，具有适当的
第六十四条
(一) 制定、实施和调整审计计划，检查和评估商业银行信息科技系统和内控
(二)
(三)
(四) 执行信息科技专项审计。信息科技专项审计，是指对信息科技安全事故进行的调查、分析和评估，或审计部门根据风险评估结果对认为必要的特殊事
第六十五条 商业银行应根据业务性质、规模和复杂程度，信息科技应用情况，以及信息科技风险评估结果，决定信息科技内部审计范围和频率。但至少应每
第六十六条 商业银行在进行大规模系统开发时，应要求信息科技风险管理部门
第十章
第六十七条 商业银行可以在符合法律、法规和监管要求的情况下，委托具备相
第六十八条 在委托审计过程中，商业银行应确保外部审计机构能够对本银行的硬件、软件、文档和数据进行检查，以发现信息科技存在的风险，国家法律、
第六十九条 商业银行在实施外部审计前应与外部审计机构进行充分沟通，详细
第七十条 银监会及其派出机构必要时可指定具备相应资质的外部审计机构对商业银行执行信息科技审计或相关检查。外部审计机构根据银监会或其派出机构的委托或授权对商业银行进行审计时，应出示委托授权书，并依照委托授权
第七十一条 外部审计机构根据授权出具的审计报告，经银监会及其派出机构审阅批准后具有与银监会及其派出机构出具的检查报告同等的效力，被审计的商
第七十二条 商业银行在委托外部审计机构进行外部审计时，应与其签订保密协议，并督促其严格遵守法律法规，保守本银行的商业秘密和信息科技风险信息，
第十一章 附
第七十三条 未设董事会的商业银行，应当由其经营决策机构履行本指引中董事
第七十四条 第七十五条
第七十六条 本指引自颁布之日起施行，《银行业金融机构信息系统风险管理指引》(银监发„2006‟63号)同时废止。
第七十四条 第七十五条
第七十六条 本指引自颁布之日起施行，《银行业金融机构信息系统风险管理指引》(银监发„2006‟63号)同时废止。