银行保险机构信息科技外包风险监管办法.pdfVIP

银行保险机构信息科技外包风险监管办法--第1页

银行保险机构信息科技外包风险监管办法

第一章总则

第一条为规范银行保险机构的信息科技外包活动，加强信息科技外

包风险管控，根据《中华人民共和国银行业监督管理法》《中华人民共和

国商业银行法》《中华人民共和国保险法》《中华人民共和国网络安全法》

《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》等法

律法规，制定本办法。

第二条在中华人民共和国境内设立的政策性银行、商业银行、农村

合作银行、省（自治区）农村信用社联合社，保险集团（控股）公司、保

险公司、保险资产管理公司、金融资产管理公司适用本办法。银保监会及

其派出机构监管的其他金融机构参照本办法执行。

第三条本办法所适用的信息科技外包，是指银行保险机构将原本由

自身负责处理的信息科技活动委托给服务提供商进行处理的行为。

银行保险机构与其他第三方合作当中涉及银行保险机构重要数据和

客户个人信息处理的信息科技活动，按照本办法相关要求进行管理，法律

法规另有要求的除外。

第四条银行保险机构应当建立与本机构信息科技战略目标相适应的

信息科技外包管理体系，将信息科技外包风险纳入全面风险管理体系，有

效控制由于外包而引发的风险。

第五条银行保险机构在实施信息科技外包时应当坚持以下原则：

（一）不得将信息科技管理责任、网络安全主体责任外包；

（二）以不妨碍核心能力建设、积极掌握关键技术为导向；

银行保险机构信息科技外包风险监管办法--第1页

银行保险机构信息科技外包风险监管办法--第2页

（三）保持外包风险、成本和效益的平衡；

（四）保障网络和信息安全，加强重要数据和个人信息保护；

（五）强调事前控制和事中监督；

（六）持续改进外包策略和风险管理措施。

第二章信息科技外包治理

第六条银行保险机构应建立覆盖董（理）事会、高管层、信息科技外

包风险主管部门、信息科技外包执行团队的信息科技外包及风险管理组织

架构，明确相应层级的职责，确保信息科技外包治理架构权责清晰、运转

高效、制衡充分。

第七条银行保险机构董（理）事会或其授权设立的专业委员会应负

责推动建立信息科技外包及其风险管理体系、审批信息科技外包战略、审

议重大外包决策，高级管理层应负责制定信息科技外包战略，明确信息科

技外包风险主管部门和信息科技外包执行团队，明确信息科技外包及其风

险管理职责，审议信息科技外包管理流程及制度，监控信息科技外包及其

风险管理成效。

第八条银行保险机构应指定信息科技外包风险主管部门，该部门主

要职责包括：

（一）根据机构总体风险政策和外包战略，制定信息科技外包风险管

理策略、制度和流程；

（二）统筹信息科技外包风险的识别、评估、监测、预警、报告及处

置工作；

银行保险机构信息科技外包风险监管办法--第2页

银行保险机构信息科技外包风险监管办法--第3页

（三）制定保障外包服务持续性的应急管理方案，并定期组织实施演

练；

（四）监督、评价外包执行团队的管理工作，并督促外包风险管理的

持续改善；

（五）向董（理）事会（或其专门委员会）或高级管理层汇报信息科

技外包相关风险及管理情况。