2021年金融信息科技風(fēng)險(xiǎn)管理制度

1、制度2021年金融信息科技風(fēng)險(xiǎn)管理制度單位名稱：XXXX部門：XXXX日期：2021年XX月XX日管理制度2021年金融信息科技風(fēng)險(xiǎn)管理制度金融信息科技風(fēng)險(xiǎn)管理制度第一條本管理所稱信息科技風(fēng)險(xiǎn)，是指信息科技在我司運(yùn)用過程中，由于自然因素、人為因素、技術(shù)漏洞和管理缺陷產(chǎn)生的操作、法律和聲譽(yù)等風(fēng)險(xiǎn)。第二條信息科技風(fēng)險(xiǎn)管理的目標(biāo)是通過建立有效的機(jī)制，實(shí)現(xiàn)對我司信息科技風(fēng)險(xiǎn)的識別、計(jì)量、監(jiān)測和控制，促進(jìn)我司安全、持續(xù)、穩(wěn)健運(yùn)行，推動業(yè)務(wù)創(chuàng)新，提高信息技術(shù)使用水平，增強(qiáng)核心競爭力和可持續(xù)發(fā)展能力。科技管理職責(zé)第三條根據(jù)我司信息科技治理的要求，法定代表人是本機(jī)構(gòu)信息科技風(fēng)險(xiǎn)管理的第一責(zé)任人，負(fù)責(zé)組織本管理

2、辦法的貫徹落實(shí)，董事會應(yīng)履行以下信息科技管理職責(zé)：(一)遵守并貫徹執(zhí)行國家有關(guān)信息科技管理的法律、法規(guī)和技術(shù)標(biāo)準(zhǔn)，落實(shí)中國銀行業(yè)監(jiān)督管理委員會(以下簡稱銀監(jiān)會)相關(guān)監(jiān)管要求。(二)審查批準(zhǔn)信息科技戰(zhàn)略，確保其與銀行的總體業(yè)務(wù)戰(zhàn)略和重大策略相一致。評估信息科技及其風(fēng)險(xiǎn)管理工作的總體效果和效率。(三)掌握主要的信息科技風(fēng)險(xiǎn)，確定可接受的風(fēng)險(xiǎn)級別，確保相關(guān)風(fēng)險(xiǎn)能夠被識別、計(jì)量、監(jiān)測和控制。(四)規(guī)范職業(yè)道德行為和廉潔標(biāo)準(zhǔn)，增強(qiáng)內(nèi)部文化建設(shè)，提高全體人員對信息科技風(fēng)險(xiǎn)管理重要性的認(rèn)識。(五)設(shè)立一個(gè)由來自高級管理層、信息科技部門和主要業(yè)務(wù)部門的代表組成的專門信息科技管理委員會，負(fù)責(zé)監(jiān)督各項(xiàng)職責(zé)的落實(shí)，

3、定期向董事會和高級管理層匯報(bào)信息科技戰(zhàn)略規(guī)劃的執(zhí)行、信息科技預(yù)算和實(shí)際支出、信息科技的整體狀況。(六)在建立良好的公司治理的基礎(chǔ)上進(jìn)行信息科技治理，形成分工合理、職責(zé)明確、相互制衡、報(bào)告關(guān)系清晰的信息科技治理組織結(jié)構(gòu)。加強(qiáng)信息科技專業(yè)隊(duì)伍的建設(shè)，建立人才激勵(lì)機(jī)制。(七)確保內(nèi)部審計(jì)部門進(jìn)行獨(dú)立有效的信息科技風(fēng)險(xiǎn)管理審計(jì)，對審計(jì)報(bào)告進(jìn)行確認(rèn)并落實(shí)整改。(八)每年審閱并向銀監(jiān)會及其派出機(jī)構(gòu)報(bào)送信息科技風(fēng)險(xiǎn)管理的年度報(bào)告。(九)確保信息科技風(fēng)險(xiǎn)管理工作所需資金。(十)確保銀行所有員工充分理解和遵守經(jīng)其批準(zhǔn)的信息科技風(fēng)險(xiǎn)管理制度和流程，并安排相關(guān)培訓(xùn)。(十一)確保本法人機(jī)構(gòu)涉及客戶信息、賬務(wù)信息以及產(chǎn)

4、品信息等的核心系統(tǒng)在中國境內(nèi)獨(dú)立運(yùn)行，并保持最高的管理權(quán)限，符合銀監(jiān)會監(jiān)管和實(shí)施現(xiàn)場檢查的要求，防范跨境風(fēng)險(xiǎn)。(十二)及時(shí)向銀監(jiān)會及其派出機(jī)構(gòu)報(bào)告本機(jī)構(gòu)發(fā)生的重大信息科技事故或突發(fā)事件，按相關(guān)預(yù)案快速響應(yīng)。(十三)配合銀監(jiān)會及其派出機(jī)構(gòu)做好信息科技風(fēng)險(xiǎn)監(jiān)督檢查工作，并按照監(jiān)管意見進(jìn)行整改。(十四)履行信息科技風(fēng)險(xiǎn)管理其他相關(guān)工作。科技風(fēng)險(xiǎn)管理第四條風(fēng)險(xiǎn)管理部負(fù)責(zé)信息科技風(fēng)險(xiǎn)管理工作，并直接向分管行領(lǐng)導(dǎo)(風(fēng)險(xiǎn)管理委員會)報(bào)告工作。該部門應(yīng)為信息科技突發(fā)事件應(yīng)急響應(yīng)小組的成員之一，負(fù)責(zé)協(xié)調(diào)制定有關(guān)信息科技風(fēng)險(xiǎn)管理策略，尤其是在涉及信息安全、業(yè)務(wù)連續(xù)性計(jì)劃和合規(guī)性風(fēng)險(xiǎn)等方面，為業(yè)務(wù)部門和信息科技部門

5、提供建議及相關(guān)合規(guī)性信息，實(shí)施持續(xù)信息科技風(fēng)險(xiǎn)評估，跟蹤整改意見的落實(shí)，監(jiān)控信息安全威脅和不合規(guī)事件的發(fā)生。風(fēng)險(xiǎn)管理部的職責(zé)包括：(一)擬定信息系統(tǒng)風(fēng)險(xiǎn)管理總體政策，并提交高級管理層審查、審批。(二)會同相關(guān)業(yè)務(wù)部門對信息系統(tǒng)風(fēng)險(xiǎn)進(jìn)行識別、監(jiān)測;(三)審核信息系統(tǒng)風(fēng)險(xiǎn)狀況。對總行相關(guān)業(yè)務(wù)部門和分支機(jī)構(gòu)信息系統(tǒng)風(fēng)險(xiǎn)狀況及維護(hù)、運(yùn)行情況進(jìn)行監(jiān)測，并進(jìn)行實(shí)時(shí)報(bào)告。(四)組織新投產(chǎn)后信息系統(tǒng)的后評價(jià)，并識別、評估新信息系統(tǒng)中所包含的風(fēng)險(xiǎn)，審核相應(yīng)的操作和風(fēng)險(xiǎn)管理程序。第五條我司制定全面的信息科技風(fēng)險(xiǎn)管理策略，包括但不限于下述領(lǐng)域：(一)信息分級與保護(hù)。(二)信息系統(tǒng)開發(fā)、測試和維護(hù)。(三)信息科技運(yùn)行

6、和維護(hù)。(四)訪問控制。(五)物理安全。(六)人員安全。(七)業(yè)務(wù)連續(xù)性計(jì)劃與應(yīng)急處臵。第六條我司制定持續(xù)的風(fēng)險(xiǎn)識別和評估流程，確定信息科技中存在隱患的區(qū)域，評價(jià)風(fēng)險(xiǎn)對其業(yè)務(wù)的潛在影響，對風(fēng)險(xiǎn)進(jìn)行排序，并確定風(fēng)險(xiǎn)防范措施及所需資源的優(yōu)先級別(包括外包供應(yīng)商、產(chǎn)品供應(yīng)商和服務(wù)商)。第七條我司依據(jù)信息科技風(fēng)險(xiǎn)管理策略和風(fēng)險(xiǎn)評估結(jié)果，實(shí)施全面的風(fēng)險(xiǎn)防范措施。防范措施應(yīng)包括：(一)制定明確的信息科技風(fēng)險(xiǎn)管理制度、技術(shù)標(biāo)準(zhǔn)和操作規(guī)程等，定期進(jìn)行更新和公示。(二)確定潛在風(fēng)險(xiǎn)區(qū)域，并對這些區(qū)域進(jìn)行詳細(xì)和獨(dú)立的監(jiān)控，實(shí)現(xiàn)風(fēng)險(xiǎn)最小化。建立適當(dāng)?shù)目刂瓶蚣埽员阌跈z查和平衡風(fēng)險(xiǎn);定義每個(gè)業(yè)務(wù)級別的控制內(nèi)容，包括：

7、1、最高權(quán)限用戶的審查。2、控制對數(shù)據(jù)和系統(tǒng)的物理和邏輯訪問。3、訪問授權(quán)以“必需知道”和“最小授權(quán)”為原則。4、審批和授權(quán)。5、驗(yàn)證和調(diào)節(jié)。第八條我司應(yīng)建立持續(xù)的信息科技風(fēng)險(xiǎn)計(jì)量和監(jiān)測機(jī)制，其中應(yīng)包括：(一)建立信息科技項(xiàng)目實(shí)施前及實(shí)施后的評價(jià)機(jī)制。(二)建立定期檢查系統(tǒng)性能的程序和標(biāo)準(zhǔn)。(三)建立信息科技服務(wù)投訴和事故處理的報(bào)告機(jī)制。(四)建立內(nèi)部審計(jì)、外部審計(jì)和監(jiān)管發(fā)現(xiàn)問題的整改處理機(jī)制。(五)安排供應(yīng)商和業(yè)務(wù)部門對服務(wù)水平協(xié)議的完成情況進(jìn)行定期審查。(六)定期評估新技術(shù)發(fā)展可能造成的影響和已使用軟件面臨的新威脅。(七)定期進(jìn)行運(yùn)行環(huán)境下操作風(fēng)險(xiǎn)和管理控制的檢查。(八)定期進(jìn)行信息科技外

8、包項(xiàng)目的風(fēng)險(xiǎn)狀況評價(jià)。第九條我司設(shè)立分管信息科技的副級領(lǐng)導(dǎo)，直接向公司領(lǐng)導(dǎo)匯報(bào)，并參與決策。副級領(lǐng)導(dǎo)的職責(zé)包括：(一)直接參與公司與信息科技運(yùn)用有關(guān)的業(yè)務(wù)發(fā)展決策。(二)確保信息科技戰(zhàn)略，尤其是信息系統(tǒng)開發(fā)戰(zhàn)略，符合公司的總體業(yè)務(wù)戰(zhàn)略和信息科技風(fēng)險(xiǎn)管理策略。(三)負(fù)責(zé)建立一個(gè)切實(shí)有效的信息科技部門，承擔(dān)本公司的信息科技職責(zé)。確保其履行：信息科技預(yù)算和支出、信息科技策略、標(biāo)準(zhǔn)和流程、信息科技內(nèi)部控制、專業(yè)化研發(fā)、信息科技項(xiàng)目發(fā)起和管理、信息系統(tǒng)和信息科技基礎(chǔ)設(shè)施的運(yùn)行、維護(hù)和升級、信息安全管理、災(zāi)難恢復(fù)計(jì)劃、信息科技外包和信息系統(tǒng)退出等職責(zé)。(四)確保信息科技風(fēng)險(xiǎn)管理的有效性，并使有關(guān)管理措施落

9、實(shí)到相關(guān)的每一個(gè)內(nèi)設(shè)機(jī)構(gòu)和分支機(jī)構(gòu)。(五)組織專業(yè)培訓(xùn)，提高人才隊(duì)伍的專業(yè)技能。(六)履行信息科技風(fēng)險(xiǎn)管理其他相關(guān)工作。第十條應(yīng)根據(jù)信息安全級別，將網(wǎng)絡(luò)劃分為不同的邏輯安全域(以下簡稱為域)。應(yīng)該對下列安全因素進(jìn)行評估，并根據(jù)安全級別定義和評估結(jié)果實(shí)施有效的安全控制，如對每個(gè)域和整個(gè)網(wǎng)絡(luò)進(jìn)行物理或邏輯分區(qū)、實(shí)現(xiàn)網(wǎng)絡(luò)內(nèi)容過濾、邏輯訪問控制、傳輸加密、網(wǎng)絡(luò)監(jiān)控、記錄活動日志等。(一)域內(nèi)應(yīng)用程序和用戶組的重要程度。(二)各種通訊渠道進(jìn)入域的訪問點(diǎn)。(三)域內(nèi)配臵的網(wǎng)絡(luò)設(shè)備和應(yīng)用程序使用的網(wǎng)絡(luò)協(xié)議和端口。(四)性能要求或標(biāo)準(zhǔn)。(五)域的性質(zhì)，如生產(chǎn)域或測試域、內(nèi)部域或外部域。(六)不同域之間的連通性

10、。(七)域的可信程度。第十一條應(yīng)通過以下措施，確保所有計(jì)算機(jī)操作系統(tǒng)和系統(tǒng)軟件的安全：(一)制定每種類型操作系統(tǒng)的基本安全要求，確保所有系統(tǒng)滿足基本安全要求。(二)明確定義包括終端用戶、系統(tǒng)開發(fā)人員、系統(tǒng)測試人員、計(jì)算機(jī)操作人員、系統(tǒng)管理員和用戶管理員等不同用戶組的訪問權(quán)限。(三)制定最高權(quán)限系統(tǒng)賬戶的審批、驗(yàn)證和監(jiān)控流程，并確保最高權(quán)限用戶的操作日志被記錄和監(jiān)察。(四)要求技術(shù)人員定期檢查可用的安全補(bǔ)丁，并報(bào)告補(bǔ)丁管理狀態(tài)。(五)在系統(tǒng)日志中記錄不成功的登錄、重要系統(tǒng)文件的訪問、對用戶賬戶的修改等有關(guān)重要事項(xiàng)，手動或自動監(jiān)控系統(tǒng)出現(xiàn)的任何異常事件，定期匯報(bào)監(jiān)控情況。第十二條應(yīng)通過以下措施，確

11、保所有信息系統(tǒng)安全：(一)明確定義終端用戶和信息科技技術(shù)人員在信息系統(tǒng)安全中的角色和職責(zé)。(二)針對信息系統(tǒng)的重要性和敏感程度，采取有效的身份驗(yàn)證方法。(三)加強(qiáng)職責(zé)劃分，對關(guān)鍵或敏感崗位進(jìn)行雙重控制。(四)在關(guān)鍵的接合點(diǎn)進(jìn)行輸入驗(yàn)證或輸出核對。(五)采取安全的方式處理保密信息的輸入和輸出，防止信息泄露或被盜取、篡改。(六)確保系統(tǒng)按預(yù)先定義的方式處理例外情況，當(dāng)系統(tǒng)被迫終止時(shí)向用戶提供必要信息。(七)以書面或電子格式保存審計(jì)痕跡。(八)要求用戶管理員監(jiān)控和審查未成功的登錄和用戶賬戶的修改。第十三條對所有員工進(jìn)行必要的培訓(xùn)，使其充分掌握信息科技風(fēng)險(xiǎn)管理制度和流程，了解違反規(guī)定的后果，并對違反安

12、全規(guī)定的行為采取零容忍政策。第十四條應(yīng)認(rèn)識到信息科技項(xiàng)目相關(guān)的風(fēng)險(xiǎn)，包括潛在的各種操作風(fēng)險(xiǎn)、財(cái)務(wù)損失風(fēng)險(xiǎn)和因無效項(xiàng)目規(guī)劃或不適當(dāng)?shù)捻?xiàng)目管理控制產(chǎn)生的機(jī)會成本，并采取適當(dāng)?shù)捻?xiàng)目管理方法，控制信息科技項(xiàng)目相關(guān)的風(fēng)險(xiǎn)。第十五條采取適當(dāng)?shù)南到y(tǒng)開發(fā)方法，控制信息系統(tǒng)的生命周期。典型的系統(tǒng)生命周期包括系統(tǒng)分析、設(shè)計(jì)、開發(fā)或外購、測試、試運(yùn)行、部署、維護(hù)和退出。所采用的系統(tǒng)開發(fā)方法應(yīng)符合信息科技項(xiàng)目的規(guī)模、性質(zhì)和復(fù)雜度。業(yè)務(wù)連續(xù)性管理第十六條根據(jù)自身業(yè)務(wù)的性質(zhì)、規(guī)模和復(fù)雜程度制定適當(dāng)?shù)臉I(yè)務(wù)連續(xù)性規(guī)劃，以確保在出現(xiàn)無法預(yù)見的中斷時(shí)，系統(tǒng)仍能持續(xù)運(yùn)行并提供服務(wù);定期對規(guī)劃進(jìn)行更新和演練，以保證其有效性。第十七條

13、評估因意外事件導(dǎo)致其業(yè)務(wù)運(yùn)行中斷的可能性及其影響，包括評估可能由下述原因?qū)е碌钠茐模?一)內(nèi)外部資源的故障或缺失(如人員、系統(tǒng)或其他資產(chǎn))。(二)信息丟失或受損。(三)外部事件(如戰(zhàn)爭、地震或臺風(fēng)等)。第十八條應(yīng)采取系統(tǒng)恢復(fù)和雙機(jī)熱備處理等措施降低業(yè)務(wù)中斷的可能性，并通過應(yīng)急安排和保險(xiǎn)等方式降低影響。第十九條建立維持其運(yùn)營連續(xù)性策略的文檔，并制定對策略的充分性和有效性進(jìn)行檢查和溝通的計(jì)劃。其中包括：(一)規(guī)范的業(yè)務(wù)連續(xù)性計(jì)劃，明確降低短期、中期和長期中斷所造成影響的措施，包括但不限于：1、資源需求(如人員、系統(tǒng)和其他資產(chǎn))以及獲取資源的方式。2、運(yùn)行恢復(fù)的優(yōu)先順序。3、與內(nèi)部各部門及外部相關(guān)各

14、方(尤其是監(jiān)管機(jī)構(gòu)、客戶和媒體等)的溝通安排。(二)更新實(shí)施業(yè)務(wù)連續(xù)性計(jì)劃的流程及相關(guān)聯(lián)系信息。(三)驗(yàn)證受中斷影響的信息完整性的步驟。(四)當(dāng)我司的業(yè)務(wù)或風(fēng)險(xiǎn)狀況發(fā)生變化時(shí)，對本條一到三進(jìn)行審核并升級。第二十條我司的業(yè)務(wù)連續(xù)性計(jì)劃和年度應(yīng)急演練結(jié)果應(yīng)由信息科技風(fēng)險(xiǎn)管理部門或信息科技管理委員會確認(rèn)。物業(yè)經(jīng)理人：.pmceo.cOm 篇2：風(fēng)險(xiǎn)管理制度總則風(fēng)險(xiǎn)管理制度總則第一條 為建立我司規(guī)范、有效的風(fēng)險(xiǎn)控制體系，提高風(fēng)險(xiǎn)防范能力,增強(qiáng)企業(yè)競爭力，提高投資回報(bào)，保證公司安全、穩(wěn)健、持續(xù)發(fā)展，提高經(jīng)營管理水平，依據(jù)中華人民共和國公司法中華人民、共和國證券法中央企業(yè)全面風(fēng)險(xiǎn)管理指引及企業(yè)內(nèi)部控制基、

15、本規(guī)范等法律、法規(guī)和監(jiān)管規(guī)定，結(jié)合市場及公司實(shí)際需求，制定本管理制度。第二條 本制度所稱風(fēng)險(xiǎn)，指未來的不確定性對企業(yè)實(shí)現(xiàn)其經(jīng)營目標(biāo)的影響。企業(yè)風(fēng)險(xiǎn)一般可分為戰(zhàn)略風(fēng)險(xiǎn)、財(cái)務(wù)風(fēng)險(xiǎn)、市場風(fēng)險(xiǎn)、運(yùn)營風(fēng)險(xiǎn)、法律風(fēng)險(xiǎn)等;也可以能否為企業(yè)帶來盈利等機(jī)會為標(biāo)志，將風(fēng)險(xiǎn)分為純粹風(fēng)險(xiǎn)(只有帶來損失一種可能性)和機(jī)會風(fēng)險(xiǎn)(帶來損失和盈利的可能性并存)。第三條 本制度所稱風(fēng)險(xiǎn)管理，指企業(yè)圍繞總體經(jīng)營目標(biāo)，通過在企業(yè)管理的各個(gè)環(huán)節(jié)和經(jīng)營過程中執(zhí)行風(fēng)險(xiǎn)管理的基本流程，培育良好的風(fēng)險(xiǎn)管理文化，建立健全全面風(fēng)險(xiǎn)管理體系，包括風(fēng)險(xiǎn)管理策略、風(fēng)險(xiǎn)理財(cái)措施、風(fēng)險(xiǎn)管理的組織職能體系、風(fēng)險(xiǎn)管理信息系統(tǒng)和內(nèi)部控制系統(tǒng)，從而為實(shí)現(xiàn)風(fēng)險(xiǎn)管理

16、的總體目標(biāo)提供合理保證的過程和方法。第四條 公司開展風(fēng)險(xiǎn)管理力求實(shí)現(xiàn)以下風(fēng)險(xiǎn)管理總體目標(biāo)：(一)確保將風(fēng)險(xiǎn)控制在與總體目標(biāo)相適應(yīng)并可承受的范圍內(nèi);(二)確保內(nèi)外部，尤其是公司與股東間實(shí)現(xiàn)真實(shí)、可靠的信息溝通，包括編制和提供真實(shí)、可靠的財(cái)務(wù)報(bào)告;(三)確保遵守有關(guān)法律、法規(guī)及房地產(chǎn)行業(yè)相關(guān)規(guī)定;(四)確保公司有關(guān)規(guī)章制度和為實(shí)現(xiàn)經(jīng)營目標(biāo)而采取重大措施的貫徹執(zhí)行，保障經(jīng)營管理的有效性，提高經(jīng)營活動的效率和效果，降低實(shí)現(xiàn)經(jīng)營目標(biāo)的不確定性;(五)確保公司建立針對各項(xiàng)重大風(fēng)險(xiǎn)發(fā)生后的危機(jī)處理計(jì)劃，保護(hù)企業(yè)不因?yàn)?zāi)害性風(fēng)險(xiǎn)或人為失誤而遭受重大損失。第五條 風(fēng)險(xiǎn)管理工作遵循以下原則：(一)全面性原則。內(nèi)部控制應(yīng)當(dāng)貫穿決策、執(zhí)行和監(jiān)督全過程，覆蓋企業(yè)及其所屬單位的各種業(yè)務(wù)和事項(xiàng)。(二)重要性原則。內(nèi)部控制應(yīng)當(dāng)在全面控制的基礎(chǔ)上，關(guān)注重要業(yè)務(wù)事項(xiàng)和高風(fēng)險(xiǎn)領(lǐng)域。(三)制衡性原則。內(nèi)部控制應(yīng)當(dāng)在治理結(jié)構(gòu)、機(jī)構(gòu)設(shè)臵及權(quán)責(zé)分配、業(yè)務(wù)流程等方面形成相互制約、相互監(jiān)督，同時(shí)兼顧運(yùn)營效率。(四