官方：银行保险机构信息科技外包将纳入日常风险监测

中新经纬1月21日电 银保监会网站消息，为进一步加强银行保险机构信息科技外包风险监管，促进银行保险机构提升信息技外包风险管控能力，推动银行保险机构稳健开展数字化转型工作，中国银保监会近日印发了《银行保险机构信息科技外包风险监管办法》(下称《办法》)。

《办法》起草工作坚决贯彻落实中央精神，注重把握以下原则：一是坚持风险为本，在深入分析银行保险机构信息科技外包风险发展态势的基础上，提出针对性的监管要求；二是强化监管力度，在总结银行保险业信息科技监管实践经验的基础上，制定体系化的监管措施；三是对接国际标准，《办法》起草工作吸收借鉴了近年来国际组织、国外监管机构相关外包监管原则和良好实践。

《办法》共7章46条，对银行保险机构信息科技外包风险管理提出全面要求。一是在总则中明确信息科技外包风险管理的总体要求，即银行保险机构应当建立与本机构信息科技战略目标相适应的信息科技外包管理体系，将信息科技外包风险纳入全面风险管理体系，有效控制由于外包而引发的风险。

二是在信息科技外包治理中对银行保险机构的组织和职责、外包战略、外包禁止、服务提供商管理策略、外包分类、外包分级管理、退出策略等提出明确要求。

三是对信息科技外包准入提出监管要求，包括准入前评估、尽职调查、合同等进行了规定，并对非驻场集中式外包、跨境外包、同业和关联外包提出附加要求。

四是明确信息科技外包监控评价要求，对外包过程监控、效能和质量监控、服务监控及评价、服务提供商经营监控、异常纠正、关联外包评价、外包终止做出规定。

五是规范信息科技外包风险管理，对外包风险识别与评估、业务连续性管理、信息安全管理、集中度风险管理、非驻场外包实地检查、年度风险评估和审计提出要求。

六是对监管机构实施外包监督管理做出规定，包括事前报告要求、重大事件报告、监管评估和监督检查、风险监测、监管干预、实地核查、监管问责等内容。

下一步，银保监会将加强政策宣贯培训，将信息科技外包纳入对银行保险机构的日常风险监测和现场检查，推动银行保险机构建立有效的信息科技外包风险管理体系，促进《办法》有效落地实施。

此外，中国银保监会有关部门负责人就《银行保险机构信息科技外包风险监管办法》答记者问。

上述负责人介绍，《办法》所适用的信息科技外包，是指银行保险机构将原本由自身负责处理的信息科技活动委托给服务提供商进行处理的行为。除了上述外包行为以外，随着近年来银行保险机构在各个领域与第三方的合作越来越多，其中不少合作涉及机构重要数据和客户个人信息处理，为充分保护金融消费者权益，加强第三方合作当中的信息科技风险管理，防止敏感信息泄露和不当使用，对银行保险机构与其他第三方合作当中涉及银行保险机构的重要数据和客户个人信息处理的信息科技活动，需按照《办法》相关要求进行管理。

上述负责人还提到，《办法》规定，银行保险机构在实施信息科技外包时应当坚持以下原则：(一)不得将信息科技管理责任、网络安全主体责任外包；(二)以不妨碍核心能力建设、积极掌握关键技术为导向；(三)保持外包风险、成本和效益的平衡；(四)保障网络和信息安全，加强个人信息保护；(五)强调事前控制和事中监督；(六)持续改进外包策略和风险管理措施。

《办法》是否会提高服务提供商的准入门槛？上述负责人答复称，《办法》所约束的对象是银保监会监管的银行保险机构，对所有服务提供商一视同仁，没有新增任何其他准入门槛，银行保险机构自主决定服务提供商的选择标准和准入方式。

上述负责人最后表示，《办法》自发布之日起实施，《银行业金融机构信息科技外包风险监管指引》(银监发〔2013〕5号)《中国银监会办公厅关于加强银行业金融机构非驻场集中式外包风险管理的通知》(银监办发〔2014〕187号)《中国银监会办公厅关于开展银行业金融机构信息科技非驻场集中式外包监管评估工作的通知》(银监办发〔2014〕272号)同时废止。(中新经纬APP)