农信社省联社金融机构信息科技风险管理五年规划.doc.doc

附件 省农村合作金融机构 信息科技风险管理五年规划 二〇一二年三月五日 第一章 引言 3 第二章 全省农合机构信息科技风险管理现状 5 第一节 信息科技风险管理主要成效 5 一、信息科技治理取得一定成效 5 二、信息科技风险管理策略构建取得一定成效 6 三、信息科技风险评估取得初步成效 7 四、信息系统安全等级保护取得初步进展 7 五、业务连续性管理初上轨道 8 第二节 信息科技风险管理存在的问题 8 一、信息科技治理不够健全 8 二、信息科技风险管理策略不完善 9 三、风险控制层面的“三重控制”机制未有效构建 10 四、数据大集中系统安全等级定级偏低 11 五、业务连续性管理还比较薄弱 11 六、信息科技风险管理绩效体系尚未建立 12 第三章 信息科技风险管理五年规划目标和实施路线 12 第一节 信息科技风险管理五年规划总体目标 13 第二节 信息科技风险管理五年规划实施路线 14 一、持续完善信息科技治理 14 二、逐步完善信息科技风险管理策略 17 三、构建信息科技风险控制层面的“三重控制” 20 四、全面贯彻落实信息系统安全等级保护 21 五、持续完善业务连续性管理体系 22 六、加强分中心和法人联社的信息科技风险管理 24 七、探索建立信息科技风险管理绩效体系 24 第四章 2012年信息科技风险管理工作计划 25 一、进一步完善信息科技治理 26 二、初步建立信息科技风险管理策略 27 三、初步构建风险控制层面“三重控制” 29 四、落实信息系统安全等级保护 30 五、初步建立业务连续性管理体系 30 六、落实信息科技风险隐患的整改工作 32 第一章 引言 信息科技风险指信息科技在全省农合机构运用过程中，由于自然因素、人为因素、技术漏洞和管理缺陷产生的操作、法律和声誉等风险。信息科技风险管理指通过建立有效的机制，实现对信息科技风险的识别、计量、监测、和控制，促进全省农合机构安全、持续、稳健运行，推动业务创新，提高信息科技使用水平，增强核心竞争力和可持续发展能力。 信息科技风险管理主要范围包括信息科技治理、信息科技风险管理策略、信息科技风险控制、信息系统安全等级保护、业务连续性管理和信息科技风险管理绩效体系等。其中，信息科技治理主要涉及信息科技管理、信息科技风险管理、信息科技审计“三道防线”建设，信息科技风险管理策略包括风险管理目标规划及信息系统架构风险管理策略、信息安全管理策略、生产运行风险管理策略、开发测试和维护风险管理策略、外包风险管理策略等具体风险管理策略; 信息科技风险控制包括由事前评估识别、事中监测检查、事后审计核查组成的“三重控制”；信息系统安全等级保护包括建立信息系统安全等级划分标准，制定信息系统安全控制基线，并在此基础上采用相应的安全技术实现信息系统安全等级保护；业务连续性管理包括业务影响分析、业务连续性计划、突发事件应急处理和灾难恢复等；信息科技风险管理绩效体系主要包括生产安全运行绩效考核体系和生产运行服务水平绩效考核体系。 近年来银监会非常重视银行业金融机构的信息科技风险管理工作，强化信息科技管理、信息科技风险管理、信息科技审计“三道防线”建设，先后发布了《商业银行信息科技风险管理指引》，《银行业重要信息系统投产与变更管理办法》《商业银行数据中心监管指引》，《银行业重要信息系统突发事件应急管理规范》、《网上银行安全风险管理指引》、《商业银行业务连续性监管指引》等信息科技风险管理的纲领性文件，同时在《中国银行业信息科技“十二五”发展规划监管指导意见》中，对农合机构在“十二五”期间的信息科技风险管理提出了具体的发展目标。 全省目前已有93家农合机构和1家村镇银行接入大集中系统，数据大集中在提升农合机构管理水平、促进业务发展的同时，也带来了信息科技风险的高度集中，信息科技风险管理显得尤为重要。为持续提升、改进数据大集中系统和全省农合机构信息科技风险管理水平，根据银监会《商业银行信息科技风险管理指引》、《中国银行业信息科技“十二五”发展规划监管指导意见》和人民银行《中国金融业信息化“十二五”发展规划》有关信息科技风险管理发展目标要求，省联社银信中心信息科技风险管理部牵头编写了全省农合机构2012年到2016年信息科技风险管理五年规划。 规划在客观分析全省农合机构信息科技风险管理现状基础上，梳理出了数据大集中后信息科技风险管理的基本思路，制定了今后五年信息科技风险管理的总体目标和实施路线。规划的重点是：强化治理层面的“三道防线”，构建策略层面的风险管理策略，建立控制层面的“三重控制”，贯彻落实信息系统安全等级保护，完善业务连续性管理，提升全省农合机构的数据安全水平和业务连续性水平。 第二章 全省农合机构信息科技风险管理现状 第一节 信息科技风险管理主要成效 随着数据