某银行信息科技风险识别与评估管理办法.pdf

某银行信息科技风险识别与评估管理办法

第一章总则

第一条为规范信息科技风险评估工作，提高某银行信息科技风险管理水平,

促进我行业务安全、持续、稳健发展，根据国家信息安全法律、法规及银行业信

息科技监管要求及《某银行信息科技风险管理策略》结合我行风险管理实际情,

况，特制定本办法。

第二条本办法属于信息科技风险类“管理办法”，合用于某银行信息科技工

作全过程的风险评估。风险评估对象包括信息科技组织、管理过程和信息资产。

第三条信息科技风险，是指信息科技在合规管理、支持业务创新和业务运

营过程中,由于管理流程及资源缺失或者不足、人为因素和技术漏洞产生的操作、

法律、声誉等风险。

第四条信息科技风险评估是指在信息科技风险事件发生之前或者之后(但

还没有结束)，该事件给信息系统的研发、生产等各个方面造成的影响和损失

的可能性进行量化评估的工作。

第五条本办法所指的信息科技风险类型及来源包括但不限于以下内容：

(一)信息科技总体风险是指信息科技在策略、制度、物理环境、软件、

硬件、网络、数据、文档等方面影响全局或者共有的风险。

(二)信息系统风险是指信息系统在规划、研发、建设、运行、维护、监控及

下线过程中由于技术和管理缺陷产生的风险。

(三)研发风险是指信息系统在研发过程中组织、规划、需求、分析、设计、

编程、测试和投产等环节产生的风险。

(四)运行维护风险是指信息系统在运行与维护过程中访问管理、操作管

理、变更管理、机房管理和事件管理等环节产生的风险。

(五)外包风险是指本行将信息系统的规划、研发、建设、运行、维护、监

控等委托给业务合作火伴或者外部技术供应商时形成的风险。

第六条信息科技风险评估是识别、计量、评价信息科技风险的活动，旨在

客观反映信息科技对我行发展战略的支撑程度。

第七条风险评估应遵循“全面覆盖、突出重点、持续跟进”的原则。

第八条总行、一级分行的信息科技风险评估含自评估()工作应遵照本

办法执行.

第二章角色分工

第九条风险评估可由总行信息科技管理委员会或者一级分行发起，承担机

构是风险管理部，风险管理部负责组建风险评估实施团队。风险评估实施团

队由管理层、相关业务和技术骨干等人员组成,评估工作角色分为：评估管理人

员、评估人员、评估分析人员。

(一)评估管理人员由风险管理部信息科技风险管理岗担任,负责组织、管理、

监督风险评估任务,包括：

1。制定风险评估任务计划

2.设计风险评估方案

3.审核风险评估报告

4。确认风险处置建议

5.跟踪风险评估任务进度

6。控制风险评估任务质量

(二)评估人员负责按照风险评估任务要求,采集并提供信息和证据，如实

反映信息科技工作现状.评估人员由评估对象所涉及的相关技术或者业务骨干

人员担任；

(三)评估分析人员负责汇总、整理和分析采集到的信息与证据材料,编写

风险评估报告。评估分析人员由行内经验丰富的专业人员担任，必要时可礼聘业

内专业人员.

第十条在同一风险评估任务中，评估实施团队成员不少于三人，评估管理

人员和评估分析人员不得兼任评估人员。

第三章风险评估计划

第十一条总行和一级分行每年度应开展一次整体信息科技风险评估，两次

以上专项信息科技风险评估。

第十二条信息科技风险评估要以信息科技风险监测信息、数据以及其他有

关信息为基础,遵循科学、透明和个案处理的原则进行。

第十三条浮现以下情况时，应结合本单位以往风险评估情况，确定是否

启动专项信息科技风险评估:

(一)新系统上线后或者已有系统进行重大变更；

(二)信息科技运行中发现重大纰漏或者隐患；

(三)内部或者同业浮现重大信息科技事件；

(四)信息科技审计中发现重大问题；

(五)监管机构发布风险提示；

(六)其他情况.

第十四条一级分行根据总行风险评估工作