商业银行的信息科技风险管理.pdfVIP

舍融教 与研 究 2013年第5期(总第151期) 商业银行的信息科技风险管理 陆 丰 (中国农业银行北京市分行，北京 1000~) 摘 要：商业银行信息科技风险管理有两个重要 目标：一是保证银行业务的稳定和连续；二是保护客户信息安全。防 范信息科技风险，关键是管理要到位。商业银行可以从完善风险治理架构、健全管理制度体系、合理规划系统资源、密 切监测系统运行、落实业务连续计划、推进科技队伍建设等方面入手有效防控信息科技风险。 关 键 词：商业银行 ；信息科技；风险管理 中图分类号：F830．33 文献标识码：A 文章编号：1006—3544(2013)05—0031—02 表 1 信息科技风险事件案例 一 、 商业银行信息科技风险 在信息技术与银行业务深度融合的今天，信息科技风险 事件往往涉及范围广、客户多、金额大，在给银行造成经济损 失的同时，也会带来很大的声誉损失。银监会前主席刘明康 曾表示 ：“如果银行系统中断 1小时，将直接影响该行的基本 支付业务；中断 1天，将对其声誉造成极大伤害；中断2-3天 以上不能恢复，将直接危及其他银行乃至整个金融系统的稳 定。”因此，可以毫不夸张地说信息科技安全运行和健康发展 是银行业务正常开展的重要保障和基本前提，关乎银行声 誉、金融安全和社会稳定。表 1显示了近年来商业银行发生 的几起典型信息科技风险事件。 根据中国银监会发布的 《商业银行信息科技风险管理指 引》，信息科技风险是指信息科技在商业银行运用过程中，由 于 自然因素、人为因素、技术漏洞和管理缺陷产生的操作 、法 律和声誉等风险。在巴塞尔新资本协议体系中，信息科技风 险被视为操作风险的一种。它具有区别于一般操作风险的特 殊性：(1)风险因素复杂，大量使用外包和新技术使得风险控 制的复杂度大幅提高。(2)潜伏性 、偶发性和不确定性突出。 比如，通过充分风险论证的生产系统，短期内无风险隐患，而 随着生产环境的压力逐步扩大，系统的脆弱性就会逐步暴 露；一个具有很高安全性的电子银行 ，随着病毒的不断变种 ， 黑客技术的提高，新的安全问题就会 出现。(3)信息科技风险 一 般不直接造成经济损失，其造成的间接损失难以计量且极 可能引发声誉风险。(4)影响范围广。单个信息系统的故障就 可能影响银行多项业务 。在银行数据大集 中的形势和背景 下，信息科技风险也趋于集中，成为惟一能使银行瞬间瘫痪 的风险。 从 国内的监管导向看 ，笔者认为信息科技风险管理有两 个重要的目标：一是保证银行业务的稳定和连续 ；二是保护 收稿 日期：2013—05—27 客户信息安全。如果不能实现这两个 目标，则可能引发直接 作者简介：陆丰，男，中国农业银行北京市分行经济师。 或间接的经济损失以及声誉风险和法律风险。 31 含触教 学与研 究 2013年第5期(总第151期) 二、信息科技风险的影响因素 理到位是防范信息科技风险的关键。 从前述信息科技风险管理的两个 目标出发 ，可以通过分 三、信息科技风险管理措施 析影响目标实现的因素来了解引致信息科技风险的原因。影 信息科技风险管理应贯穿于信息科技工作的全流程，涉 响银行业务的稳定和连续的因素主要有软硬件故障、人员误 及到信息科技风险管理的 “三道防线”，需要由信息科技部门 操作、关键人员离岗、系统超负荷运行、网络瘫痪、电力中断、 和各业务部门共同完成。具体管理措施如下： 病毒传播、应用系统及版本出现异常、数据缺失或丢失、外包 1．完善