某銀行信息科技非駐場(chǎng)外包管理辦法

xxxx銀行信息科技非駐場(chǎng)外包管理辦法第一章總則第一條為規(guī)范xxxx銀行（以下簡(jiǎn)稱“我行”）信息科技非駐場(chǎng)外包活動(dòng)，保障我行信息系統(tǒng)安全持續(xù)穩(wěn)定運(yùn)行，降低信息科技非駐場(chǎng)外包風(fēng)險(xiǎn)，依據(jù)中國銀監(jiān)會(huì)《銀行業(yè)金融機(jī)構(gòu)信息科技外包風(fēng)險(xiǎn)監(jiān)管指引》和《銀行業(yè)金融機(jī)構(gòu)外包風(fēng)險(xiǎn)管理指引》，結(jié)合我行實(shí)際，特制定本管理辦法。第二條本辦法所稱非駐場(chǎng)式外包是指外包服務(wù)商不在我行提供現(xiàn)場(chǎng)服務(wù)，或外包的關(guān)鍵基礎(chǔ)設(shè)施和信息系統(tǒng)不在我行產(chǎn)權(quán)場(chǎng)所，由我行以租用設(shè)施或購買服務(wù)資源的方式獲得，主要由外包服務(wù)商運(yùn)維的外包方式。第二章非駐場(chǎng)外包職責(zé)管理第三條我行信息科技部是信息科技非駐場(chǎng)外包的職能管理部門。第四條我行信息科技非駐場(chǎng)外包管理中其他涉及的部門包括：非駐場(chǎng)外包服務(wù)使用部門（外包服務(wù)直接應(yīng)用部門）、非駐場(chǎng)外包審批部門、風(fēng)險(xiǎn)管理部和審計(jì)部等。第五條我行信息科技部作為信息科技非駐場(chǎng)外包管理部門，其基本職能如下：（一）負(fù)責(zé)非駐場(chǎng)外包管理辦法的制定、修訂和完善。（二）負(fù)責(zé)協(xié)調(diào)和組織非駐場(chǎng)外包資源，管理非駐場(chǎng)外包資源臺(tái)賬信息；（三）負(fù)責(zé)制定技術(shù)指標(biāo)要求，協(xié)助相關(guān)部門簽定非駐場(chǎng)外包服務(wù)合同、制定非駐場(chǎng)外包服務(wù)水準(zhǔn)協(xié)議。（四）規(guī)范和制定非駐場(chǎng)外包監(jiān)控制度、考核評(píng)價(jià)機(jī)制和持續(xù)改進(jìn)辦法、組織驗(yàn)收考核；（五）負(fù)責(zé)定期形成非駐場(chǎng)外包項(xiàng)目情況報(bào)告，提交相關(guān)部門及高級(jí)管理層審核；（六）根據(jù)xxxx銀行審計(jì)部門或風(fēng)險(xiǎn)管理部門對(duì)非駐場(chǎng)外包工作的評(píng)估、審計(jì)以及提出的風(fēng)險(xiǎn)管理意見對(duì)信息科技非駐場(chǎng)外包工作實(shí)施優(yōu)化和改進(jìn)。第六條我行非駐場(chǎng)外包管理其他涉及的部門，其基本職能如下：（一）配合信息科技非駐場(chǎng)外包管理部門做好非駐場(chǎng)外包服務(wù)商的日常風(fēng)險(xiǎn)信息收集；（二）協(xié)助相關(guān)部門簽定非駐場(chǎng)外包服務(wù)合同、制定非駐場(chǎng)外包服務(wù)水準(zhǔn)協(xié)議；（三）配合信息科技非駐場(chǎng)外包管理部門做好對(duì)非外包工作的評(píng)估、審計(jì)工作。第七條信息科技部外包管理崗是非駐場(chǎng)外包執(zhí)行的主管崗位，其基本職能如下：（一）負(fù)責(zé)非駐場(chǎng)外包管理辦法的執(zhí)行，并對(duì)辦法提出改進(jìn)建議；（二）負(fù)責(zé)非駐場(chǎng)外包供應(yīng)商的盡職調(diào)查，提交盡職調(diào)查報(bào)告；（三）負(fù)責(zé)非駐場(chǎng)外包供應(yīng)商信息的定期收集和更新，建立供應(yīng)商管理臺(tái)賬；（四）負(fù)責(zé)定期形成非駐場(chǎng)外包項(xiàng)目情況報(bào)告；（五）協(xié)助審計(jì)、風(fēng)險(xiǎn)管理部門對(duì)外包供應(yīng)商進(jìn)行審計(jì)和風(fēng)險(xiǎn)評(píng)估。第三章非駐場(chǎng)外包管理原則第八條我行在開展非駐場(chǎng)外包活動(dòng)采購前，應(yīng)當(dāng)對(duì)非駐場(chǎng)外包服務(wù)商開展全面、深入的盡職調(diào)查，采集外包服務(wù)商相關(guān)資料，并由外包服務(wù)商填寫《xxxx銀行信息科技非駐場(chǎng)外包服務(wù)盡職調(diào)查書》，主要資料內(nèi)容如下：（一）外包服務(wù)商財(cái)務(wù)經(jīng)營狀況：外包服務(wù)商近三年審計(jì)后的財(cái)務(wù)報(bào)表；（二）外包服務(wù)商組織架構(gòu)及職責(zé)落實(shí)情況：外包服務(wù)商的組織架構(gòu)及風(fēng)險(xiǎn)治理架構(gòu)，包括風(fēng)險(xiǎn)管理、質(zhì)量管理、運(yùn)行管理、開發(fā)管理、安全管理、業(yè)務(wù)連續(xù)性管理等保障職能設(shè)置和部門主要職責(zé)以及制度建設(shè)和日常工作開展情況；（三）外包服務(wù)商研發(fā)投入情況（機(jī)房運(yùn)營服務(wù)類不適用）：近三年總銷售收入、研究開發(fā)費(fèi)用、研發(fā)費(fèi)用占比等；（四）外包服務(wù)商人力資源配備情況，包含但不限于：各研發(fā)人員、運(yùn)維人員、操作人員、質(zhì)量管理人員、科技風(fēng)險(xiǎn)管理人員、高管層人員數(shù)量及占比，特別說明高管人員的科技從業(yè)和教育背景；（五）外包服務(wù)商科研成果情況，包含但不限于：核心技術(shù)能力及獲得自主知識(shí)產(chǎn)權(quán)情況，有證書的附加證書復(fù)印件；（六）專業(yè)資質(zhì)，包含但不限于：各類ISO9001、ISO20000、ISO27001、CMMI、系統(tǒng)集成資質(zhì)、災(zāi)備資質(zhì)等級(jí)、涉密資質(zhì)等與開展非駐場(chǎng)式外包業(yè)務(wù)相關(guān)的資質(zhì)與認(rèn)證證明，有證書的需提供證書復(fù)印件或掃描件；（七）外包商風(fēng)險(xiǎn)評(píng)估和審計(jì)情況：近三年外包服務(wù)商內(nèi)部審計(jì)報(bào)告、風(fēng)險(xiǎn)評(píng)估報(bào)告、第三方審計(jì)評(píng)估報(bào)告、其他金融機(jī)構(gòu)開展的檢查報(bào)告等；（八）業(yè)務(wù)連續(xù)性管理情況：外包服務(wù)商災(zāi)備系統(tǒng)建設(shè)情況、業(yè)務(wù)連續(xù)性測(cè)評(píng)認(rèn)證情況等；（九）信息安全保障情況：外包服務(wù)商網(wǎng)絡(luò)安全、主機(jī)及系統(tǒng)安全、應(yīng)用安全、物理安全、數(shù)據(jù)安全等領(lǐng)域信息安全保障情況。第九條我行也可以委托第三方機(jī)構(gòu)開展盡職調(diào)查，或者采信其他銀行業(yè)金融機(jī)構(gòu)對(duì)同一外包服務(wù)商6個(gè)月內(nèi)的盡職調(diào)查結(jié)果。第十條我行在開展非駐場(chǎng)集中式外包活動(dòng)，應(yīng)當(dāng)經(jīng)過審慎、充分的風(fēng)險(xiǎn)評(píng)估，形成書面風(fēng)險(xiǎn)評(píng)估報(bào)告，并報(bào)送高管層。第十一條我行應(yīng)當(dāng)嚴(yán)格按照《銀行業(yè)金融機(jī)構(gòu)信息科技外包風(fēng)險(xiǎn)監(jiān)管指引》有關(guān)非駐場(chǎng)外包、重點(diǎn)外包服務(wù)機(jī)構(gòu)風(fēng)險(xiǎn)管理要求，審慎決策并選擇外包服務(wù)商，非駐場(chǎng)外包決策應(yīng)當(dāng)經(jīng)過高管層書面批準(zhǔn)。第十二條我行應(yīng)當(dāng)在與外包服務(wù)商簽訂的非駐場(chǎng)式外包合同中書面明確以下內(nèi)容：（一）外包服務(wù)商應(yīng)當(dāng)遵從銀行業(yè)相關(guān)監(jiān)管法規(guī)；（二）外包服務(wù)商應(yīng)當(dāng)承諾接受我行和銀行業(yè)監(jiān)督管理機(jī)構(gòu)的監(jiān)督檢查；（三）外包服務(wù)商應(yīng)當(dāng)承諾接受我行安排的風(fēng)險(xiǎn)評(píng)估或?qū)徲?jì)；（四）外包服務(wù)商對(duì)我行提供的服務(wù)資源應(yīng)當(dāng)至少與其他機(jī)構(gòu)相互邏輯隔離，僅我行具有對(duì)業(yè)務(wù)系統(tǒng)和數(shù)據(jù)的最高訪問權(quán)限；（五）未經(jīng)同意，外包服務(wù)商不得將我行數(shù)據(jù)以任何形式轉(zhuǎn)移、挪用或?yàn)橥獍?wù)商自身謀取利益。第四章非駐場(chǎng)外包日常管理第十三條對(duì)于已采購的信息科技非駐場(chǎng)式外包活動(dòng)，我行應(yīng)當(dāng)加強(qiáng)日常風(fēng)險(xiǎn)監(jiān)測(cè)，建立書面風(fēng)險(xiǎn)清單臺(tái)賬并動(dòng)態(tài)維護(hù)，并由外包管理部門制定專門的風(fēng)險(xiǎn)應(yīng)對(duì)措施。第十四條我行應(yīng)組織信息科技部、風(fēng)險(xiǎn)管理部、審計(jì)部及其他相關(guān)部門人員，原則上每年至少開展一次對(duì)非駐場(chǎng)外包服務(wù)商的現(xiàn)場(chǎng)評(píng)估和審計(jì)工作，并出具評(píng)估報(bào)告，評(píng)估報(bào)告作為外包商準(zhǔn)入的重要依據(jù)。第十五條我行可以采信監(jiān)管機(jī)構(gòu)對(duì)非駐場(chǎng)外包服務(wù)商在12個(gè)月內(nèi)的現(xiàn)場(chǎng)評(píng)估或?qū)徲?jì)結(jié)果，不再重復(fù)安排現(xiàn)場(chǎng)評(píng)估或?qū)徲?jì)活動(dòng)。第十六條我行應(yīng)對(duì)非駐場(chǎng)外包服務(wù)商的日常風(fēng)險(xiǎn)監(jiān)測(cè)情況和現(xiàn)場(chǎng)檢查情況進(jìn)行全面評(píng)估，定期對(duì)非駐場(chǎng)外包服務(wù)商提出整改意見，并要求非駐場(chǎng)外包服務(wù)商落實(shí)整改并出具整改反饋。第十七條我行應(yīng)根據(jù)非駐場(chǎng)外包服務(wù)的水平、發(fā)展趨勢(shì)及評(píng)估