某银行信息科技风险识别与评估管理办法.pdfVIP

某银行信息科技风险识别与评估管理办法 第一章 总 则 第一条 为规范信息科技风险评估工作， 提高某银行信息科技风险管理水平， 促进我行业务安全、持续、稳健发展，根据国家信息安全法律、法规及银行业信 息科技监管要求及《某银行信息科技风险管理策略》 ，结合我行风险管理实际情 况，特制定本办法。 第二条 本办法属于信息科技风险类“管理办法”，适用于某银行信息科技 工作全过程的风险评估。 风险评估对象包括信息科技组织、 管理过程和信息资产。 第三条 信息科技风险，是指信息科技在合规管理、支持业务创新和业务运 营过程中，由于管理流程及资源缺失或不足、人为因素和技术漏洞产生的操作、 法律、声誉等风险。 第四条 信息科技风险评估是指在信息科技风险事件发生之前或之后（但还 没有结束），该事件给信息系统的研发、生产等各个方面造成的影响和损失的可 能性进行量化评估的工作。 第五条 本办法所指的信息科技风险类型及来源包括但不限于以下内容： (一 ) 信息科技总体风险是指信息科技在策略、制度、物理环境、软件、硬 件、网络、数据、文档等方面影响全局或共有的风险。 (二 ) 信息系统风险是指信息系统在规划、研发、建设、运行、维护、监控 及下线过程中由于技术和管理缺陷产生的风险。 (三 ) 研发风险是指信息系统在研发过程中组织、 规划、需求、分析、 设计、 编程、测试和投产等环节产生的风险。 (四) 运行维护风险是指信息系统在运行与维护过程中访问管理、操作管理、 变更管理、机房管理和事件管理等环节产生的风险。 (五 ) 外包风险是指本行将信息系统的规划、研发、建设、运行、维护、监 控等委托给业务合作伙伴或外部技术供应商时形成的风险。 第六条 信息科技风险评估是识别、 计量、评价信息科技风险的活动， 旨在 客观反映信息科技对我行发展战略的支撑程度。 第七条 风险评估应遵循“全面覆盖、突出重点、持续跟进”的原则。 第八条 总行、一级分行的信息科技风险评估 （含自评估）工作应遵照本 办法执行。 第二章 角色分工 第九条 风险评估可由总行信息科技管理委员会或一级分行发起， 承担机构 是风险管理部，风险管理部负责组建风险评估实 施团队。风险评估实施团队由 管理层、相关业务和技术骨干等人员组成，评估工作角色分为：评估管理人员、 评估人员、评估分 析人员。 （一） 评估管理人员由风险管理部信息科技风险管理岗担任，负责组织、 管理、监督风险评估任务，包括： 1. 制定风险评估任务计划 2. 设计风险评估方案 3. 审核风险评估报告 4. 确认风险处置建议 5. 跟踪风险评估任务进度 6. 控制风险评估任务质量 （二）评估人员负责按照风险评估任务要求， 收集并提供信息和证据， 如 实反映信息科技工作现状。评估人员由评估对象 所涉及的相关技术或业务骨干 人员担任； （三）评估分析人员负责汇总、 整理和分析采集到的信息与证据材料， 编 写风险评估报告。 评估分析人员由行内经验丰富的专业人员担任， 必要时可聘请 业内专业人员。 第十条 在同一风险评估任务中， 评估实施团队成员不少于三人， 评估管理 人员和评估分析人员不得兼任评估人员。 第三章 风险评估计划 第十一条 总行和一级分行